Generatore Hash

MD5 (128-bit): Veloce ma crittograficamente compromesso dagli anni '90 — esistono attacchi pratici di collisione. Usalo solo per checksum non legati alla sicurezza e per la compatibilità con sistemi legacy. SHA-1 (160-bit): Anche questo compromesso — Google ha dimostrato un attacco pratico di collisione (SHAttered) nel 2017. Evitalo per qualsiasi scopo di sicurezza. SHA-256 (256-bit): L'attuale standard di riferimento. Nessun attacco pratico noto. Usato in TLS/HTTPS, Bitcoin, Git (SHA-1 viene gradualmente rimosso) e nella firma del codice. Usalo per tutto ciò che è nuovo. SHA-512 (512-bit): Fornisce un margine di sicurezza maggiore ed è in realtà più veloce di SHA-256 sui processori a 64 bit perché lavora su parole a 64 bit invece di 32 bit. Usalo quando desideri un margine di sicurezza extra.

Una collisione si verifica quando due input diversi producono lo stesso output di hash. Per il paradosso del compleanno, le collisioni diventano sempre più probabili man mano che il numero di possibili valori di hash diminuisce. MD5 ha un output a 128 bit (circa 3.4 × 10^38 valori possibili), ma sono stati dimostrati attacchi pratici per trovare collisioni — un attaccante può creare due file diversi con lo stesso hash MD5. SHA-256 ha un output a 256 bit (10^77 valori possibili) e nessun attacco pratico di collisione noto. Le collisioni sono importanti per le firme digitali e i certificati: se puoi creare una collisione, potresti essere in grado di falsificare una firma.

Abilita la Modalità Batch e inserisci un valore per riga nell'input di testo. Ogni riga viene hashata separatamente. La tabella dei risultati mostra l'input e i suoi valori hash per ogni algoritmo selezionato, affiancati. Scarica tutto come file CSV per l'importazione in Excel, in un database o in qualsiasi pipeline di elaborazione dati. Questo è utile per generare hash per una lista di password, chiavi API o checksum di file in blocco.

Un hash regolare come SHA-256 non ha una chiave — chiunque può calcolare lo stesso hash dallo stesso input. Questo va bene per il controllo dell'integrità (download di file) ma non per l'autenticazione. L'HMAC (Hash-based Message Authentication Code) combina una funzione di hash con una chiave segreta: HMAC-SHA256(key, message). Il codice risultante può essere verificato solo da chi conosce la chiave. Gli HMAC vengono utilizzati per la firma delle richieste API (AWS Signature V4, JWT con HS256), la verifica dei webhook (GitHub, Stripe) e l'integrità dei cookie. Questo strumento genera hash standard (senza chiave). Per l'HMAC, hai bisogno di uno strumento o codice che accetti una chiave.

Quando scarichi un software, l'editore solitamente pubblica un checksum SHA-256 (o MD5) accanto al link di download. Calcolando l'hash del tuo file scaricato e confrontandolo con il valore pubblicato, puoi verificare: (1) che il file non sia stato danneggiato durante il trasferimento — anche un singolo bit invertito cambia completamente l'hash, (2) che il file non sia stato manomesso da un attacco man-in-the-middle o da uno specchio compromesso. Questo è particolarmente importante per strumenti di sicurezza, immagini di OS e qualsiasi software che intendi eseguire con privilegi elevati. Usa il campo di confronto integrato: incolla l'hash previsto e lo strumento ti dirà istantaneamente se corrispondono.

No, non direttamente. Le funzioni di hash regolari (SHA-256, SHA-512, MD5) sono progettate per essere veloci — una GPU moderna può calcolare miliardi di hash SHA-256 al secondo. Per le password, hai bisogno di funzioni progettate specificamente per essere lente: bcrypt (costo regolabile, costo minimo 10 consigliato da OWASP), scrypt (memory-hard) o Argon2 (l'attuale scelta consigliata). Queste funzioni richiedono 100-300ms per ogni verifica, il che è impercettibile per gli utenti ma rende impraticabile il brute-force di miliardi di tentativi. Usa questo strumento per la verifica dei file, l'impronta digitale dei dati e i controlli di integrità — usa bcrypt/Argon2 per le password.

No. Tutti i calcoli di hash vengono eseguiti nel tuo browser utilizzando la Web Crypto API (per le varianti SHA) e JavaScript (per la compatibilità con MD5). Il tuo testo, i tuoi file e le tue password non lasciano mai il tuo dispositivo.