1. Un mismo nombre no significa un mismo contenido
Es fácil pensar que un instalador se descargó correctamente cuando su nombre y tamaño coinciden con la página de descarga. Sin embargo, el nombre se puede cambiar y dos archivos del mismo tamaño pueden contener datos distintos. A la inversa, copiar una foto con otro nombre no necesariamente modifica sus bytes. Un hash facilita la comparación al someter el contenido a un cálculo definido que produce un valor breve. La pregunta es si los bytes recibidos coinciden con una referencia fiable, y no simplemente si el nombre parece convincente. También podemos plantearla al trasladar una copia de seguridad a otro dispositivo de almacenamiento.
SHA-256 es un algoritmo que genera un hash de 256 bits a partir de su entrada. Suele mostrarse como 64 dígitos hexadecimales, porque cada uno representa cuatro bits. La longitud del resultado no crece en proporción al tamaño del archivo. El mismo algoritmo aplicado a los mismos bytes produce el mismo resultado. Sin embargo, como valores de longitud finita representan todas las entradas posibles, en principio existen colisiones: entradas distintas con el mismo valor. Ser útil para comparaciones prácticas no equivale a asignar un nombre matemáticamente único a cada archivo. El RFC 6234 ofrece cálculos y datos de prueba, incluidos los de SHA-256.
2. Un hash no es cifrado ni una copia en miniatura
Conocer un hash no proporciona un botón de descifrado para recuperar el documento o la foto originales. El cifrado se diseña para recuperar el original con una clave adecuada, mientras que un hash criptográfico no es un formato de almacenamiento para reconstruirlo. Eso tampoco significa que publicar solo un hash mantenga secreta cualquier entrada. Si hay pocas entradas posibles, alguien puede calcular sus hashes y compararlos. Por tanto, explicar SHA-256 para verificar archivos no debe convertirse en el consejo de que basta con aplicar un hash directo a las contraseñas para guardarlas. Verificar integridad, mantener confidencialidad y almacenar contraseñas exigen condiciones diferentes.
Calcular el hash de un archivo completo no compara únicamente los caracteres visibles. Un texto aparentemente idéntico puede tener bytes distintos por los saltos de línea, la codificación o los metadatos internos. Un archivo extraído de un comprimido es un objeto de comparación diferente del comprimido original. Si se normalizan caracteres o se cambian saltos de línea antes del cálculo, se obtiene el hash de los datos transformados. Si el distribuidor publica el valor del archivo comprimido original, primero compáralo con el propio archivo descargado. Es una aplicación práctica de la diferencia entre visualización y bytes explicada en el artículo anterior sobre Unicode y UTF-8.
3. Compara la descarga con el mismo algoritmo y la referencia correcta
Antes de verificar, comprueba juntos la versión, el sistema operativo, el nombre y el algoritmo en las instrucciones oficiales del distribuidor. El valor de un instalador para otro sistema o de otra versión no sirve como referencia. En PowerShell, Get-FileHash -LiteralPath '.\download.zip' -Algorithm SHA256 permite leer un archivo local y calcular su hash. El comando no ejecuta el contenido de esa ruta. La documentación oficial de Microsoft explica que se calcula sobre el contenido y que cambiar solo el nombre no modifica el valor. Adapta el nombre y la ruta al archivo realmente recibido y no lo modifiques durante el cálculo.
En la salida, compara los 64 caracteres completos del campo Hash con el SHA-256 publicado. Que coincidan algunos caracteres iniciales o finales no demuestra una coincidencia completa. Las letras hexadecimales mayúsculas y minúsculas representan los mismos números; si aparecen otros caracteres o faltan dígitos, revisa primero lo copiado. Una coincidencia respalda la coherencia entre los bytes recibidos y la referencia en la que confías. No comprueba la exactitud de un documento, la calidad de un programa ni su comportamiento malicioso. Si el propio archivo de referencia tiene un problema, una copia idéntica tendrá el mismo hash. El éxito del cálculo y la conveniencia de usar el archivo requieren valoraciones separadas.
4. Una diferencia invita a investigar, pero no demuestra un ataque
Supongamos que un archivo de distribución descargado ayer no coincide con el valor de las instrucciones de hoy. Es un ejemplo explicativo, no el registro de un incidente real. Primero comprueba si las instrucciones corresponden a la misma versión, si descargaste un archivo para otro dispositivo o si calculaste antes de terminar la descarga. Tal vez calculaste sobre un archivo extraído en lugar del comprimido, o un editor volvió a guardar el documento. Hay que distinguir un cambio del objeto comparado de una modificación durante la transmisión o el almacenamiento. Una diferencia por sí sola no revela quién cambió qué ni cuándo.
No ejecutes inmediatamente un instalador que no coincide para investigarlo. Revisa las instrucciones oficiales y la referencia, y compara después una nueva descarga. Si sigue habiendo diferencias, consulta las correcciones o el soporte del distribuidor y guarda el resultado. Registra juntos la hora, la dirección de origen, la versión, el algoritmo y el valor calculado. Obtener el mismo resultado varias veces indica que el archivo local actual se leyó de forma coherente, pero no resuelve un error en la referencia publicada ni un problema en la distribución. Sustituir el registro de referencia por el resultado esperado destruye la base para evaluar cambios posteriores.
5. Por qué confiar en la referencia y qué aporta una firma digital
Si un atacante puede cambiar tanto el archivo como el hash anunciado, puede calcular el del archivo modificado y publicarlo como nueva referencia. NIST SP 800-175B explica esta limitación del hash sin clave ni firma. Obtener el valor de una página HTTPS en la dirección oficial ayuda a comprobar el origen y la vía de transmisión, pero no garantiza que el propio servidor de distribución no esté comprometido. Importa dónde y mediante qué procedimiento de confianza se obtuvo la referencia, no lo larga que parezca la cadena. La coincidencia de dos valores copiados de la misma pantalla no verifica por sí sola la identidad del creador.
Las firmas digitales permiten verificar la relación entre firma y datos mediante, por ejemplo, una clave pública obtenida de forma fiable. Si el distribuidor ofrece instrucciones para verificar firmas, sigue también el procedimiento oficial para comprobar el propietario y la huella de la clave. Confiar sin más en una clave desconocida encontrada junto a un archivo de origen incierto no resuelve el punto inicial de confianza. HMAC, que usa una clave secreta compartida, también es una herramienta de autenticación distinta de un hash ordinario, pero no una función que pueda añadirse arbitrariamente a cualquier descarga para resolverlo todo. Una firma válida no demuestra que el programa carezca de defectos ni que un documento sea verdadero. Coincidencia de bytes, comprobación del origen y evaluación del contenido están relacionadas, pero cada una necesita sus propias pruebas.
6. Registra el alcance en copias de seguridad y colaboración
En copias de seguridad de fotos personales, conservar los SHA-256 de los originales y compararlos con las copias ayuda a detectar cambios durante un traslado. Protege también la lista de referencia para que no desaparezca ni se sobrescriba junto con los originales. Si un gestor fotográfico reescribe la orientación o los metadatos de la toma, el hash puede cambiar aunque la imagen parezca similar. Primero distingue si buscas preservar exactamente los bytes o mantener el significado de una foto editada. Para comprobar una carpeta completa, no basta con el hash de un archivo: administra la lista de archivos incluidos, sus rutas relativas y sus valores individuales.
En la revisión colaborativa de documentos, un hash también puede identificar la versión exacta revisada. Pero comprobar una coincidencia no sustituye la prueba de que alguien leyó realmente todo el texto o cotejó una traducción. Registra qué se revisó, cuándo y cómo, y vincula después el registro al valor del archivo. La imagen de este artículo es un diagrama explicativo propio que organiza la comparación de bytes, el origen de la referencia y el alcance de la verificación; no es una medición real ni un certificado. Al comprobar un archivo, deja constancia del objeto y algoritmo, del origen de la referencia y de los límites de lo que permite afirmar el resultado. Así otra persona podrá reproducir el procedimiento sin exagerar las coincidencias ni las diferencias.