Entrar Empezar
Herramienta gratuita

Suma de verificación de un archivo

Un archivo sustituido parece el auténtico: mismo nombre, mismo tamaño, mismo icono. Lo único que los distingue es la suma de verificación, una huella corta del contenido. Arrastra el archivo y compara la suma con la que publicó su autor: si coincide, es el archivo; si no, es otro.

Se calcula en el navegador: el archivo no se sube a ningún sitio.

Arrastra el archivo aquí o

El archivo se lee en la memoria de la pestaña. Se calcula SHA-256; SHA-1 y SHA-512, con el botón junto al resultado.

Cómo comprobar nuestras aplicaciones

Junto a cada descarga del sitio hay un archivo con la suma de referencia: 404vpn.apk.sha256, tunnel.apk.sha256 y 404vpn-macos.dmg.sha256. Abre el que necesites, copia la línea en el campo de arriba, arrastra el archivo descargado y la página te dirá si coincide.

Es también la respuesta a «¿me habrán colado un APK falso?». Android no mostrará ninguna diferencia entre nuestro archivo y uno ajeno con el mismo nombre; la suma sí.

Un límite

La suma se calcula sobre el archivo completo, y para eso el archivo entero entra en la memoria de la pestaña. Unos cientos de megabytes el navegador los aguanta sin problema; una imagen de decenas de gigabytes, no. Para esos archivos es más fiable la línea de comandos: shasum -a 256 archivo en macOS y Linux, certutil -hashfile archivo SHA256 en Windows.

¿Has descargado nuestra aplicación?

Comprueba la suma y asegúrate de que tienes nuestro archivo, no una recompilación ajena con el mismo nombre.

Descargas de 404 VPN →

Preguntas frecuentes

guest@404vpn:~$ cat file-hash-faq.md
[01] $ ¿Para qué comparar sumas si el archivo viene del sitio oficial? ▸
> Porque entre el sitio y tu disco hay un camino: el archivo lo puede sustituir un router infectado, un operador que inyecta publicidad, un Wi-Fi público o un espejo que «descarga más rápido». HTTPS protege de mucho, pero no del caso en que descargaste desde otra dirección creyendo que era la misma. La suma responde a la pregunta sin ambigüedad.
[02] $ ¿Cuál es la suma correcta y de dónde la saco? ▸
> Del autor del archivo. Junto a cada descarga nuestra publicamos un archivo con extensión .sha256: ahí está la referencia. Lo importante: toma la referencia de una fuente en la que confíes, no del mismo sitio de donde sacaste el archivo sospechoso. Si no, se pueden falsificar tanto el archivo como la suma que lo acompaña.
[03] $ La suma no coincide, ¿qué significa? ▸
> Que no es ese archivo. Las causas pueden ser inofensivas: descargaste otra versión, la descarga se cortó y el archivo está incompleto, el archivo comprimido se volvió a empaquetar. Pero míralo al revés: mientras la suma no coincida, trata el archivo como un desconocido y no lo ejecutes.
[04] $ ¿Por qué SHA-256 y no MD5? ▸
> MD5 está roto desde hace tiempo: encontrar un segundo archivo con la misma suma lleva hoy minutos en un ordenador normal, y así es justo como cuelan las falsificaciones. No sirve para comprobar autenticidad. SHA-1 aguanta algo mejor pero también se considera inservible; lo ofrecemos solo para archivos antiguos de los que nunca se publicó otra suma.
[05] $ ¿De verdad el archivo no se envía a ningún sitio? ▸
> De verdad: la página lo lee en la memoria de la pestaña y calcula la suma con el WebCrypto integrado en el navegador. No hay ninguna petición de red; lo puedes ver en la pestaña Red de las herramientas de desarrollo. Enviar un archivo al servidor de otro para comprobar si lo han sustituido sería una idea extraña.