Cómo verificar el hash de archivos: guía completa y actualizada

La verificación del hash es una de esas prácticas en ciberseguridad y administración de archivos que, aunque muchos usuarios pasan por alto, resulta fundamental para proteger y garantizar la integridad de los datos que manipulamos día a día. Vivimos en un mundo donde descargar archivos en Internet es algo cotidiano, pero pocas personas se preocupan en comprobar si esos documentos, ISO de sistemas operativos, programas o cualquier otro tipo de recursos, se han descargado correctamente o han sido modificados por terceros malintencionados.

Por todo ello, entender qué es un hash, para qué sirve, cómo se genera y, sobre todo, cómo puedes comprobarlo, es clave tanto si eres un usuario curioso como si te dedicas de forma profesional a la informática, la seguridad o simplemente quieres asegurarte de que tu PC y tus datos están a salvo. En este artículo te explico con todo detalle desde los conceptos más básicos hasta herramientas avanzadas, procesos en Windows y Linux, aplicaciones web y de escritorio, y trucos y consejos para que verifiques hashes como un auténtico experto.

¿Qué es un hash y para qué se utiliza?

Un hash es, explicado de forma sencilla, una cadena de caracteres generada por un algoritmo criptográfico que transforma cualquier bloque de datos -sea un archivo, una contraseña o incluso un mensaje- en una secuencia única de longitud fija. La ‘magia’ está en que, si cambias un solo bit de la entrada, el hash generado será completamente distinto. Por eso su principal uso es la verificación de la integridad: comprobar que nadie ha tocado el archivo desde el momento en que se generó su hash por primera vez.

Estas funciones hash tienen propiedad de unidireccionalidad (no hay forma práctica de obtener el archivo original a partir del hash), lo que además las hace ideales para guardar contraseñas de forma segura, comprobar datos en protocolos cifrados y mucho más allá. Si tienes dos archivos con el mismo hash, puedes tener total certeza de que son idénticos bit a bit. Si los hashes son diferentes, no lo son.

Principales usos del hash en informática y seguridad

• Verificación de integridad de archivos: La utilidad más común cuando descargamos archivos de Internet (ISOs, programas, documentos…). Si tienes el hash oficial, puedes compararlo y asegurarte de que nadie ha manipulado el archivo.
• Gestión segura de contraseñas: Los sistemas no almacenan la contraseña sino el hash de la misma. Así, aunque un atacante acceda al fichero de contraseñas, no puede recuperar el original de forma directa.
• Detección de software malicioso: Los antivirus y soluciones de seguridad mantienen bases de datos de hashes de archivos maliciosos. Si encuentran un hash conocido, pueden bloquear el archivo de inmediato.
• Firmas digitales y cadena de custodia: Esencial en entornos legales, forenses o de cumplimiento, para demostrar que un archivo no ha sido alterado.
• Blockchain y criptodivisas: El hash es el núcleo de tecnologías como el blockchain y monedas como Bitcoin, que usan estas funciones para verificar transacciones, crear direcciones y gestionar contratos inteligentes.
• Validación en protocolos seguros: Protocolos como HTTPS, TLS, SSH o IPSec dependen de funciones hash seguras para garantizar la integridad de los datos transmitidos.

Principales algoritmos de hash: fortalezas y debilidades

No todos los algoritmos hash son igual de seguros. El paso del tiempo y los avances de la investigación en criptografía hacen que algunos hayan quedado viejos y se desaconseje su uso si lo que buscas es máxima seguridad, aunque puedan seguir siendo útiles para integridad o rapidez.

• MD5: El más famoso durante años, produce cadenas de 128 bits. Actualmente inseguro por la facilidad con la que es posible encontrar colisiones y revertir hashes conocidos. No lo uses para proteger información crítica.
• SHA-1: Desarrollado por la NSA, genera hashes de 160 bits. También ha quedado obsoleto por problemas de colisiones; no recomendable para usos críticos.
• SHA-2 (SHA-224/256/384/512…): La evolución de SHA-1, mucho más segura y ampliamente adoptada en verificación de archivos, contraseñas, firmas digitales y protocolos de seguridad.
• SHA-3: Surge como alternativa pensada para resistir ataques futuros, con una estructura interna completamente distinta a SHA-1/2. Muy recomendado en nuevos proyectos.
• BLAKE2: Más rápido y seguro que SHA-2 y SHA-3 en muchas situaciones. Tiene variantes optimizadas para sistemas de diferentes arquitecturas.
• Otros algoritmos: CRC32, RIPEMD, WHIRLPOOL, TIGER, HAVAL, ADLER32, Base64, entre otros, que se pueden encontrar en herramientas específicas o para integridad rápida.

Cómo funciona la verificación del hash

Verificar el hash de un archivo es tan fácil como generar un hash con el mismo algoritmo que usó quien te lo proporciona y compararlo, carácter a carácter. Si coinciden, el archivo es 100% idéntico, sin manipulaciones ni corrupción. Para hacer este proceso, existen comandos integrados en Windows, Linux, programas multiplataforma y también servicios web. El procedimiento típico es:

1. Descargar el archivo y el hash oficial de la web de origen.
2. Generar el hash localmente usando el mismo algoritmo (por ejemplo, SHA-256).
3. Comparar el hash obtenido con el facilitado. Si coincide punto por punto, el fichero es auténtico.

Cómo verificar hashes en Linux paso a paso

Linux cuenta con utilidades integradas para la generación y verificación de hashes sobre cualquier tipo de archivo. De hecho, la línea de comandos hace que este proceso sea inmediato, versátil y muy automatizable.

Instalar las herramientas de hash en Linux

• coreutils: Incluye comandos como md5sum, sha1sum, sha224sum, sha256sum, sha384sum, sha512sum y b2sum (BLAKE2).
• libdigest-sha3-perl: Añade soporte para SHA-3 en muchos sistemas.

En distribuciones basadas en Debian o Ubuntu puedes instalar todo con:

sudo apt install coreutils libdigest-sha3-perl

Ejemplo de generación y verificación de hash

Supón que tienes un fichero ejemplo.txt y el hash facilitado oficialmente es 347a98d… para SHA-256.

• Generar el hash: sha256sum ejemplo.txt
• El resultado será algo como: 347a98d... ejemplo.txt
• Verificar automáticamente:
  echo "347a98d... ejemplo.txt" | sha256sum --check

Si ves el mensaje “OK”, puedes estar completamente tranquilo: el archivo es legítimo y no ha cambiado desde que se generó el hash oficial.

Verificación con otros algoritmos desde terminal

• MD5: md5sum archivo.txt
• SHA-1: sha1sum archivo.txt
• BLAKE2: b2sum archivo.txt
• SHA-3 (si tienes instalado libdigest-sha3-perl): sha3sum -a 512 archivo.txt

Recuerda que para carpetas o archivos múltiples, muchas de estas utilidades permiten operar por lotes si lo integras en un script, herramientas como QuickHash o HashMyFiles lo facilitan aún más.

Verificación de hash en Windows: métodos y herramientas recomendadas

Windows ha mejorado mucho en este aspecto. Si bien tradicionalmente dependías de programas externos, hoy puedes comprobar hashes desde la terminal con PowerShell o el símbolo del sistema, además de multitud de utilidades gratuitas y fáciles de instalar.

Comprobar hash con PowerShell

Abre PowerShell (tecla Windows, escribe ‘PowerShell’, Enter) y utiliza el comando:

get-filehash C:\ruta\archivo.txt

Por defecto obtendrás el hash SHA-256. Si necesitas especificar otro algoritmo:

get-filehash -Algorithm MD5 C:\ruta\archivo.txt

Otras opciones para el parámetro -Algorithm son: SHA1, SHA256, SHA384, SHA512, MACTripleDES, RIPEMD160.

Usar CertUtil desde el Símbolo del sistema

CertUtil es otra herramienta nativa en Windows para generar y comprobar hashes sin tener que instalar nada:

certutil -hashfile archivo.txt SHA256

Cambia SHA256 por MD5, SHA1 o el algoritmo que desees.

Programas de escritorio gratuitos y potentes para hash en Windows

• HashMyFiles: Ligero, portable, soporta MD5, SHA1, SHA256, CRC32 y otros. Permite analizar varios archivos y carpetas a la vez. Muy visual, .
• QuickHash GUI: Software multiplataforma (Windows, Linux, macOS), es open source, fácil e intuitivo, destaca por soportar muchos algoritmos y funciones por lotes. Disponible en .
• MultiHasher: Dirigido también a usuarios avanzados, permite comprobar hashes con VirusTotal directamente para contrastarlos con millones de archivos maliciosos conocidos. Descarga en multihasher.com.
• HashTab: Añade una pestaña en el menú de Propiedades del archivo para ver y comparar hashes directamente. Instalación sencilla en HashTab.
• MD5 & SHA Checksum Utility: Soporta generación de SHA-512, SHA-1, MD5, SHA-256 de varios archivos. Muy práctico para comprobaciones rápidas.
• HashCalc, DeadHash, FCIV, Hash Generator, Hasher Lite: Otras opciones muy intuitivas, la mayoría portables y gratuitas, algunas permiten comparar lotes y otras añaden accesos directos al menú contextual.

Verificación de hash con utilidades online: ¿fiables y seguras?

Existen muchas herramientas web que permiten generar y comparar hashes sin instalar nada. Son muy cómodas para archivos pequeños y situaciones puntuales, pero siempre ten en cuenta que al subir un archivo a cualquier web cedes cierto control sobre tu privacidad.

Recomendación: sólo utiliza servicios online para archivos no sensibles o de poca importancia, y siempre revisa que sean portales de confianza, preferentemente de código abierto y que no almacenen los resultados.

• File Checksum: Genera hasta 29 tipos de hashes para archivos locales y texto plano. No se necesita registro.
• HTML5 File Hash Online Calculator: Compatible con MD5, SHA-1, SHA-256/384/512, incluso para archivos grandes.
• Defuse Online Text & File Checksum Calculator: Permite generar y verificar hashes de archivos y texto, sin registros ni almacenamiento en el servidor. Limitación de tamaño: 5 MB.

Si el archivo contiene datos especialmente confidenciales (contraseñas, documentos legales, fotos personales…), es mejor no subirlo a webs de terceros.

Herramientas gráficas multiplataforma para hash

Para quienes quieran algo más visual y fácil que la terminal, destacan estos programas cruzados:

• QuickHash GUI: La herramienta de referencia para muchos. Permite generar y verificar hashes de textos, archivos individuales o varios de una carpeta a la vez, copiar archivos verificando su hash, comparar dos archivos o carpetas rápidamente y soporta algoritmos como MD5, SHA1, SHA2 (hasta 512 bits), SHA3 (256 bits), BLAKE3, xxHash y más. Además, es gratuita y no requiere instalación en su versión portable, disponible para .
• HashMyFiles: Perfecta para quienes prefieren trabajar con múltiples ficheros a la vez. Permite calcular hashes de carpetas enteras con tan solo un par de clics, soporta integración en el menú contextual y tiene una interfaz intuitiva.
• MultiHasher: Incorpora comprobación simultánea y comparación de hashes, además de integración con VirusTotal para verificar los archivos. Especialmente recomendable al analizar descargas sospechosas.
• HashTab: Añade una pestaña a las propiedades del archivo en el Explorador de Windows. Muy útil para integrarlo en el flujo diario sin depender de aplicaciones externas.

Verificación de hashes para grandes volúmenes y necesidades avanzadas

En ámbitos como la informática forense, la administración de sistemas o los servidores de archivos, la comprobación de integridad por lote y la gestión de múltiples algoritmos de hash es esencial. Por ejemplo, herramientas como QuickHash permiten:

• Comparar carpetas completas de archivos con solo seleccionar las rutas de origen y destino, verificando el hash de cada uno (copiado seguro).
• Comparar dos archivos individualmente y comprobar si coinciden o han sido alterados.
• Extraer el hash para cada archivo de una lista o incluso para un disco entero (útil para pruebas forenses).

También es posible generar ficheros de suma (por ejemplo, SHA256SUMS, MD5SUMS, etc.) que después puedes distribuir junto con los archivos originales. Así, cualquiera puede comprobar la integridad fácilmente ejecutando la herramienta correspondiente.

Cómo se rompen los hashes y qué ataques existen

En teoría, un hash es irreversible. Pero en la práctica, pueden producirse colisiones o romperse por diversos métodos si el algoritmo está anticuado o la contraseña es débil. Los principales ataques son:

• Fuerza bruta: Probar todas las posibles combinaciones de entrada hasta encontrar la que genera ese hash.
• Ataque de diccionario: Utilizar una gran lista de posibles palabras o contraseñas, hashearlas y comparar resultados.
• Colisiones: Cuando dos entradas diferentes producen el mismo hash. Ha ocurrido ya en MD5 y SHA-1.
• Tablas arco iris: Grandes bases de datos precalculadas de hashes de posibles contraseñas que permiten atacar rápidamente.

Evita exponer hashes generados con algoritmos obsoletos y añade ‘sal’ (salt) a tus datos antes de aplicar la función hash si puedes, una técnica muy usada para contraseñas.

Escenarios prácticos: cómo verificar el hash de una ISO descargada

Imagina que descargas una imagen ISO de Ubuntu o cualquier otro sistema operativo. En la web oficial te dan el archivo y, junto a él, el hash SHA-256. Este proceso es extensible a cualquier fichero que descargues y quieras asegurar su integridad.

• El hash facilitado: a435f6f393dda581172490eda9f683c32e495158a780b5a1de422ee77d98e909
• El nombre del archivo: ubuntu-22.04.3-desktop-amd64.iso
• Comando en terminal Linux: echo "a435f6f393dda581172490eda9f683c32e495158a780b5a1de422ee77d98e909 ubuntu-22.04.3-desktop-amd64.iso" | sha256sum --check
• Si el resultado es OK, puedes instalar o utilizar el archivo sin miedo a que esté comprometido.

[relacionado url=»https://www.tecnoloblog.com/descargar-e-instalar-windows-8-1-iso/»]

Plugins y utilidades integradas en gestores de archivos

En sistemas GNU/Linux, existen integraciones para gestores de archivos populares, permitiendo calcular hashes desde el menú contextual. Algunos ejemplos:

• GTKHash: Soporta muchos algoritmos y permite su integración en varios gestores de archivos como Caja, Nemo o Thunar.
• caja-gtkhash, nemo-gtkhash, thunar-gtkhash: Plugins específicos para añadir menú de hash en cada entorno.

Casos especiales: hashes en sistemas de control horario y cadenas de custodia

En entornos como el control horario (SomosCrono), la generación de un hash permite garantizar que un registro de entrada o salida no ha sido manipulado. Cada vez que se registra un fichaje, el sistema crea una ‘huella digital criptográfica’ con todos los datos implicados (usuario, hora, localización…), y esa es la prueba de integridad del dato. Si ese hash cambiase, podríamos saber que ha habido una modificación en los datos registrados originalmente.

Criterios para elegir una herramienta de verificación de hash y tips

Elige tu herramienta en función del sistema operativo, facilidad de uso, algoritmos soportados y si necesitas comprobar múltiples archivos o hacer integraciones automáticas.

• Para usuarios avanzados: Terminal de Linux, QuickHash, scripts automáticos.
• Para usuarios que prefieren interfaz gráfica: QuickHash, HashMyFiles, MultiHasher, HashTab, GTKHash, MD5 & SHA Checksum Utility.
• Para usuarios que no quieren instalar nada: CertUtil, PowerShell o servicios web (con precaución y para archivos no sensibles).
• Si necesitas analizar archivos sospechosos: MultiHasher permite comprobar contra la base de datos de VirusTotal.

Recuerda que en sistemas Windows existen herramientas para firmar aplicaciones (firma digital oficial) que funcionan como una protección extra. Aun así, para archivos fuera de este ámbito, la comprobación de hash es el paso clave.

Preguntas frecuentes y aclaraciones

• ¿Puedo calcular el hash de una carpeta? Los algoritmos funcionan sobre archivos individuales, pero herramientas como QuickHash o HashMyFiles permiten calcular/elaborar la lista de hashes para todos los ficheros de una carpeta y comparar directorios completos.
• ¿Es posible que el hash proporcionado por la fuente sea falso? Solo confía en fuentes oficiales y enlaces HTTPS. Un atacante podría colgar un archivo y un hash falso si la web ha sido manipulada.
• ¿Qué hago si el hash generado no coincide? Vuelve a descargar el archivo; puede haberse corrompido, tu conexión fallar o la web no ser confiable.
• ¿Qué algoritmo debería elegir? SHA-256 o superior (SHA-512, SHA-3, BLAKE2/BLAKE3) son seguros. Evita MD5 y SHA-1 salvo para tareas de baja seguridad o rapidez.

Comparativa de herramientas y cómo sacarles partido

Las aplicaciones modernas han sabido adaptarse a la necesidad de manejar grandes lotes, comparar carpetas y hasta verificar integridad durante procesos de copia y backup. Ejemplo tangible con :

• Puedes comparar dos archivos cualquiera y ver si han sido alterados (ejemplo: comprobar si un firmware descargado corresponde al original facilitado por el fabricante).
• En modo FileS, generar carpeta de hashes de todo un directorio para comprobaciones rutinarias.
• Función Copy: Copia archivos entre ubicaciones verificando automáticamente el hash para asegurar que no se ha producido corrupción durante la copia.
• Funcionalidad Compare Two Folders: ¿Has migrado datos entre discos? Puedes comprobar que todas las copias hayan llegado perfectas.

Verificando hashes en descargas de software y distribución digital

Es cada vez más habitual que sitios oficiales de software distribuyan hashes para cada versión que publican. Por ejemplo, páginas como la de Kali Linux, Ubuntu u otras distros, incluyen el sumario SHA-256 para cada archivo ISO. Descarga el fichero, ejecuta la herramienta como te convenga y compara el resultado, siempre utilizando un portal oficial y seguro (HTTPS).

Consejos extra de seguridad y buenas prácticas

• Siempre descarga archivos y hashes desde sitios oficiales y bajo conexiones cifradas (HTTPS).
• No utilices algoritmos débiles para proteger información sensible.
• No te fíes de cadenas de hash recibidas por mensajería o email a menos que puedas verificar el origen.
• Si generas archivos para terceros, acompáñalos de un fichero de suma (MD5SUMS, SHA256SUMS…)
• Actualiza tus herramientas y revisa periódicamente que soportan los algoritmos más seguros y actuales.
• Para contraseñas, usa siempre ‘sal’ y algoritmos diseñados especialmente para hashing de contraseñas, como bcrypt o Argon2.

A pesar de que la verificación de hash sigue siendo desconocida para muchos, es una de esas técnicas que protegen tanto al usuario medio como al profesional frente a una amplísima gama de amenazas, fallos de red, errores en procesos de copia e incluso ataques de malware sofisticados. Sabiendo cómo funciona, para qué sirve, qué debes tener en cuenta y utilizando las herramientas que mejor se adaptan a tus necesidades, tienes en tu mano uno de los mecanismos más útiles para asegurar la integridad de tu información. No dudes en aplicar todo lo aprendido en este artículo cada vez que descargues, transfieras, almacenes o compartas archivos importantes: puede ahorrarte sustos y reforzar tu seguridad de manera radical.

Cómo descargar la ISO de Windows 11: guía práctica y completa para todas sus versiones