Hash / HMAC

Calcula SHA-256, SHA-512 y HMAC de un texto o fichero, y compara con un hash esperado.

Se procesa en tu navegador · Compruébalo Sin envíosDatos enviados: 0 · A otros dominios: 0Analítica: no existe · Anuncios: no existe

Prueba un ejemplo

AlgoritmoFormato de salida

TextoSe codifica como UTF-8 antes de calcular el hash.O elige un fichero:

Resultado

Comparar con un hash esperado

Un hash simple NO es una forma segura de guardar contraseñas: usa bcrypt, scrypt o Argon2.

Aprende

¿Qué es?

Un hash es una «huella dactilar» de unos datos: da igual si son una palabra o un fichero de 2 GB, el resultado siempre tiene el mismo tamaño (SHA-256 → 64 caracteres hexadecimales). Cambia una sola letra y la huella cambia por completo. Un HMAC es lo mismo, pero mezclado con una clave secreta.

¿Para qué sirve?

Comprobar que un fichero descargado no se corrompió ni se manipuló (compara su hash con el publicado).
Verificar la firma de un webhook (Stripe, GitHub…): el servidor envía un HMAC y tú recalculas el tuyo.
Firmar tokens JWT con HS256 (que es un HMAC-SHA256).
Detectar duplicados o cambios en datos sin compararlos byte a byte.

¿Cómo funciona por dentro?

La función procesa los datos por bloques y va mezclándolos con operaciones de bits hasta producir un valor fijo. Es de un solo sentido: no hay forma de «deshacerlo». Para el HMAC, la clave se combina con los datos en dos pasadas del hash (H(clave ⊕ opad ‖ H(clave ⊕ ipad ‖ mensaje))), de modo que sin la clave no se puede reproducir el resultado. En esta herramienta el texto se codifica como UTF-8 y todo se calcula con la API WebCrypto de tu navegador.

Errores comunes

Un hash no es cifrado: no protege el contenido, sólo lo identifica.
No guardes contraseñas con SHA-256 a secas: es demasiado rápido y se prueba por fuerza bruta. Usa bcrypt, scrypt o Argon2 con sal.
SHA-1 y MD5 están rotos para seguridad (se pueden fabricar colisiones). Úsalos sólo por compatibilidad.
Compara HMAC en tiempo constante en tu servidor; comparar con == filtra información por el tiempo de respuesta.
Un espacio o salto de línea final cambia el hash: hello y hello\n son datos distintos.

Glosario

Hash:: Resultado de longitud fija de una función que resume unos datos; el mismo dato da siempre el mismo hash.
HMAC:: Hash calculado con una clave secreta; sólo quien la conoce puede generar o comprobar el valor.
Colisión:: Dos datos distintos con el mismo hash. En un algoritmo sano es prácticamente imposible provocarla.
Resumen unidireccional:: No se puede recuperar el dato original a partir del hash.

Para saber más

Más en Seguridad

Aprende paso a paso en la rutaEntiende la autenticación web