Cómo verificar una suma SHA-256 sin confundir integridad y autenticidad

Respuesta breve

Para verificar una suma SHA-256, calcula el hash de los mismos bytes y compáralo con un valor esperado obtenido de una fuente fiable. Si coinciden, los bytes no han cambiado respecto a esa referencia. La coincidencia no demuestra por sí sola quién publicó el archivo: un atacante que sustituye ambos puede producir un hash nuevo.

Ejemplo reproducible con texto

El texto ASCII abc, sin salto de línea al final, produce:

ba7816bf8f01cfea414140de5dae2223
b00361a396177a9cb410ff61f20015ad

Las dos líneas forman un digest de 64 caracteres hexadecimales, es decir, 256 bits. Puedes comprobar el vector en el generador SHA-256, que convierte texto UTF-8 localmente en el navegador.

Un espacio, una mayúscula o un salto de línea produce otro resultado. Si una comparación falla, verifica primero qué bytes entraron realmente: copiar texto desde una terminal o un editor puede añadir un final de línea invisible.

Para un archivo, calcula el hash del archivo

La herramienta web actual procesa texto, no archivos binarios. Para verificar una descarga usa una utilidad del sistema que lea sus bytes directamente, por ejemplo:

shasum -a 256 archivo.zip

En sistemas con GNU coreutils suele estar disponible:

sha256sum archivo.zip

Compara los 64 caracteres sin modificar el archivo. Las mayúsculas del texto hexadecimal no cambian el valor, pero cualquier diferencia en un dígito sí.

Integridad no es autenticidad

SHA-256 forma parte del estándar FIPS 180-4 de NIST y permite detectar cambios al comparar digests. Para que la comprobación tenga valor, el hash esperado debe llegar por un canal de confianza: una página HTTPS oficial, una firma digital verificable o un manifiesto autenticado.

Si el archivo y el checksum proceden del mismo lugar comprometido, la comparación solo confirma que coinciden entre sí. No identifica al autor ni certifica que el contenido sea seguro.

Procedimiento breve

1. Obtén el checksum desde la fuente oficial y conserva sus 64 caracteres.
2. Calcula SHA-256 sobre el archivo exacto, sin abrirlo ni convertirlo.
3. Compara todo el digest, no solo el principio o el final.
4. Si no coincide, no uses el archivo: vuelve a descargarlo desde una fuente conocida e investiga la diferencia.
5. Si necesitas autenticar al publicador, verifica además su firma digital.

Así separas dos preguntas distintas: «¿son los mismos bytes?» y «¿puedo confiar en quién los distribuye?».