Confira o checksum de um arquivo sem enviá-lo
Escolha um arquivo e veja o checksum dele. Cole o que quem publicou escreveu ao lado do download e a página diz se os dois batem, assim você confirma que a cópia no seu disco é a cópia que foi publicada.
O que um checksum igual prova, e o que não prova
Prova que os bytes no seu disco são os bytes que foram hasheados. Isso pega um download interrompido, um disco que corrompeu um bloco e um espelho servindo uma versão antiga. É o caso comum e o checksum resolve bem.
O que ele não consegue sozinho é provar que o arquivo é autêntico. Se alguém pode trocar o download, normalmente também pode trocar o checksum impresso ao lado, e os dois vão bater. O checksum só vira prova de autenticidade quando chega até você por um caminho diferente do arquivo: uma nota de versão assinada, o repositório do projeto, um gerenciador de pacotes que o fixa, ou uma chave em que você já confia. Um hash e um arquivo servidos da mesma página dizem que a transferência funcionou, e nada além disso.
Qual algoritmo marcar
Use SHA-256 a menos que quem publicou tenha dado outro. SHA-512 também serve e é um pouco mais rápido em máquinas de 64 bits. SHA-1 está aqui porque projetos antigos ainda publicam, e MD5 não é oferecido: a interface de criptografia do navegador se recusa a implementá-lo, por um motivo que vale conhecer.
MD5 e SHA-1 estão os dois quebrados diante de um ataque deliberado. É possível construir dois arquivos diferentes com o mesmo MD5, e o mesmo foi demonstrado para SHA-1, então um MD5 que bate já não descarta que o arquivo tenha sido trocado de propósito. Contra corrupção acidental os dois ainda funcionam, e por isso não sumiram.
Limites de tamanho
O arquivo inteiro é lido na memória, porque a interface de digest do navegador recebe um buffer e não um fluxo. Até algumas centenas de megabytes é confortável. Além disso depende do aparelho, e um celular desiste bem antes de um notebook. Se o navegador ficar sem espaço ele avisa, e o arquivo continua intacto.
Por que fazer isso numa aba é razoável
O conselho de sempre é rodar sha256sum ou Get-FileHash, e é um bom conselho. Esta página existe para as vezes em que você não pode: uma máquina emprestada, um notebook de trabalho bloqueado, ou alguém que não deveria precisar abrir um terminal para conferir se um instalador chegou inteiro. O arquivo é lido com a File API e hasheado com crypto.subtle, as duas do navegador, e nenhuma parte dele é enviada.
Perguntas frequentes
Meu arquivo é enviado para algum lugar?
Não. O navegador lê o arquivo do seu disco para esta aba e faz o hash ali, usando a interface de criptografia do próprio navegador. Nenhuma requisição de rede leva o arquivo nem o resultado. Você pode desconectar da internet depois que a página carregar e a ferramenta continua funcionando, que é o jeito mais fácil de se convencer disso.
Os checksums não batem. E agora?
Baixe o arquivo de novo primeiro, porque uma transferência interrompida é de longe a causa mais comum. Se a segunda cópia der o mesmo hash da primeira, o arquivo está íntegro e o checksum publicado é de outra compilação, então confira a versão e a plataforma. Se um download novo der um terceiro valor, algo entre você e o servidor está alterando o arquivo.
Por que não tem opção de MD5?
A interface de criptografia do navegador não implementa MD5, então nenhuma página pode oferecer isso sem trazer a própria implementação. É uma omissão defensável: colisões de MD5 podem ser construídas de propósito, então um MD5 que bate não descarta que o arquivo tenha sido trocado. Ele ainda detecta corrupção acidental, e é por isso que projetos antigos publicam.
Qual o tamanho máximo do arquivo?
Algumas centenas de megabytes são confortáveis num computador de mesa. O arquivo inteiro precisa caber na memória de uma vez porque a interface de digest recebe um buffer e não um fluxo, então imagens de disco e arquivos compactados muito grandes podem falhar num celular ou numa máquina antiga. O navegador reporta a falha e seu arquivo continua intacto.
Posso colar um arquivo de checksums em vez de uma linha?
Cole a linha que interessa: a comparação ignora tudo que não for dígito hexadecimal, então uma linha como "a1b2c3... arquivo.iso" funciona do mesmo jeito. Se o arquivo lista vários hashes para vários downloads, cole só a linha do que você tem.
Última atualização 4 de outubro de 2026