Segurança e Privacidade

Como verificar se um arquivo baixado é seguro com SHA-256

Como calcular e comparar o hash de um download nos três sistemas, o que fazer quando ele não bate e por que hash igual não é o mesmo que arquivo confiável.

Comparar o SHA-256 calculado no seu computador com o hash publicado pelo desenvolvedor é uma forma rápida de confirmar que um download não foi alterado. Se os valores forem diferentes, não abra o arquivo. Se forem iguais, você confirmou a integridade em relação à referência — mas ainda precisa confiar no site que publicou tanto o arquivo quanto o hash.

Este guia mostra o procedimento no Windows, macOS e Linux, sem instalar programas extras. Quando não houver um hash oficial, você também pode pesquisar o valor no VirusTotal sem enviar o arquivo.

O que um hash SHA-256 verifica

Um hash é um resumo de tamanho fixo calculado a partir do conteúdo de um arquivo. Segundo o padrão FIPS 180-4 do NIST, até uma alteração mínima no conteúdo tende a produzir outro resumo. É isso que permite conferir se duas cópias são idênticas.

Na prática, a verificação responde a esta pergunta:

O arquivo que chegou ao meu computador é exatamente o mesmo arquivo representado pelo SHA-256 publicado?

Ela não responde, sozinha, se o programa é confiável. Um site comprometido poderia distribuir um arquivo malicioso e trocar o hash exibido na mesma página. Por isso, obtenha o hash em uma fonte oficial e, quando possível, em um canal separado — por exemplo, documentação oficial, repositório do projeto ou comunicado assinado.

Se quiser ampliar sua rotina de proteção, veja este resumo de boas práticas de segurança da informação.

Antes de começar: encontre o hash oficial

Procure na página de download por termos como:

SHA-256, SHA256, checksum ou checksums;
um arquivo como SHA256SUMS;
a página de releases do repositório oficial.

Um SHA-256 costuma aparecer como uma sequência de 64 caracteres hexadecimais. Copie o valor correspondente exatamente à versão e ao sistema operacional do arquivo baixado.

Se o fornecedor não publica hashes, pule para a seção sobre VirusTotal. Nesse caso, você terá informação adicional sobre o arquivo, mas não a mesma prova de integridade oferecida por uma referência oficial.

Como calcular o SHA-256 no Windows

O PowerShell inclui o comando Get-FileHash. A documentação da Microsoft informa que ele usa SHA-256 por padrão, mas vale declarar o algoritmo para deixar o procedimento explícito.

Abra o PowerShell e digite o comando abaixo, ajustando o caminho do arquivo:

Get-FileHash -Algorithm SHA256 "C:\Users\SeuNome\Downloads\arquivo.iso"

Depois, copie o valor exibido na coluna Hash e compare-o com o SHA-256 publicado na fonte oficial.

Um atalho útil: digite Get-FileHash -Algorithm SHA256, deixe um espaço e arraste o arquivo para a janela do PowerShell — o caminho é preenchido sozinho.

Como calcular o SHA-256 no macOS

O macOS inclui o utilitário shasum. Abra o Terminal e execute:

shasum -a 256 ~/Downloads/arquivo.iso

O primeiro bloco exibido é o SHA-256. Compare os 64 caracteres com a referência oficial.

Uma página do Apple Business Manager também documenta o uso de shasum -a 256 para gerar o hash de um pacote.

Como calcular o SHA-256 no Linux

Em distribuições com GNU Coreutils, use:

sha256sum ~/Downloads/arquivo.iso

O manual oficial do GNU Coreutils descreve os utilitários SHA-2 como ferramentas para imprimir ou verificar resumos de arquivos.

Se o projeto fornecer um arquivo SHA256SUMS, você pode automatizar a comparação na pasta do download:

sha256sum --check SHA256SUMS

O resultado OK só vale para a entrada correspondente ao arquivo verificado. Confirme também que o próprio arquivo de checksums veio de uma fonte autêntica.

Como comparar sem cair em um erro visual

Hashes longos são fáceis de confundir. Evite conferir apenas o começo e o fim: compare o valor inteiro.

Opção simples

Cole o hash calculado e o hash oficial em um editor de texto, um abaixo do outro. A comparação não diferencia letras maiúsculas de minúsculas, mas qualquer caractere diferente importa.

Resultado diferente

Se os hashes não coincidirem:

não execute nem abra o arquivo;
apague a cópia ou mova-a para quarentena;
baixe novamente, de preferência da página oficial;
confirme que escolheu a versão correta;
se a divergência continuar, avise o mantenedor do projeto.

Uma diferença pode vir de download incompleto, arquivo atualizado sem documentação ou adulteração. O hash indica a divergência; não identifica a causa.

Como consultar o hash no VirusTotal sem enviar o arquivo

O VirusTotal permite pesquisar relatórios por MD5, SHA-1 ou SHA-256. Ao colar apenas o hash, você consulta o banco de dados sem enviar o conteúdo do seu arquivo.

Acesse virustotal.com.
Abra a busca.
Cole o SHA-256 calculado.
Analise se já existe um relatório para aquele arquivo.

Isso é especialmente útil para um instalador público. Para documentos pessoais, corporativos ou confidenciais, não envie o arquivo a um serviço externo sem autorização. Consultar apenas o hash reduz a exposição, embora o próprio hash ainda possa funcionar como identificador de um arquivo conhecido. Antes de usar serviços de análise, vale entender como ler políticas de privacidade.

Como interpretar o resultado

Nenhum relatório encontrado: o arquivo pode apenas ser novo ou pouco distribuído. O resultado não prova que ele seja perigoso.
Nenhuma detecção: é um sinal favorável, não uma garantia de segurança.
Uma ou poucas detecções: podem ser falso positivo, mas exigem cautela e investigação.
Muitas detecções coerentes: não execute o arquivo e confirme a origem.

O próprio VirusTotal registra a data da última análise e os resultados de diferentes mecanismos. Considere também a reputação da fonte, a assinatura digital do programa e se o download era esperado.

O que o SHA-256 não substitui

Verificar o hash é uma camada de segurança, não um antivírus completo. Continue adotando estes cuidados:

baixe apenas de sites oficiais ou repositórios reconhecidos;
mantenha sistema operacional, navegador e antivírus atualizados;
desconfie de anexos e instaladores recebidos com urgência;
verifique a assinatura digital quando o fornecedor a disponibilizar;
mantenha backups antes de instalar software sensível.

O último item é o que salva quando tudo o resto falha: se a instalação der errado ou o arquivo for malicioso, uma cópia recente no esquema 3-2-1 transforma um desastre em um aborrecimento de meia hora.

Golpes modernos podem usar mensagens muito convincentes para levar você a baixar um arquivo. Este guia sobre IA usada em golpes e outras ameaças ajuda a reconhecer a engenharia social que acontece antes do download.

Perguntas frequentes

Preciso fazer isso em todo download?

Não, e ninguém faria. Vale a pena em imagens de sistema operacional, firmware, ferramentas administrativas, carteiras de criptomoeda e qualquer programa baixado fora de loja oficial. Para o resto, origem confiável e navegador atualizado já cobrem o caso comum.

E se o site só publica MD5 ou SHA-1?

Serve para detectar download corrompido, que é falha acidental. Não serve como prova contra adulteração deliberada: os dois algoritmos têm colisões conhecidas e demonstradas, o que significa que é possível produzir dois arquivos diferentes com o mesmo valor. Se só houver MD5, confira mesmo assim — mas trate como verificação de integridade, não de autenticidade.

O hash bate mas o antivírus acusa. Em quem eu acredito?

Nos dois, porque eles respondem perguntas diferentes. O hash confirma que o arquivo é idêntico ao que o desenvolvedor publicou; o antivírus opina sobre o comportamento dele. Hash correto com detecção significa que você baixou corretamente um arquivo que pode ser problemático — inclusive porque falso positivo é comum em ferramentas de rede e administração.

SHA-256 é criptografia?

É uma função criptográfica de hash, mas não cifra nada — não existe operação inversa que devolva o arquivo a partir do resumo. Ele serve para verificar, não para esconder. É por isso que publicar o hash de um arquivo em público não expõe o conteúdo dele.

Dois arquivos podem ter o mesmo SHA-256?

Em teoria sim, porque existem infinitos arquivos possíveis e um número finito de resumos. Na prática, ninguém demonstrou uma colisão em SHA-256, e a busca por uma está muito além do que é computacionalmente viável hoje. É exatamente essa diferença que aposentou o MD5 e o SHA-1.

Dá para verificar hash no celular?

Dá, com aplicativos de terceiros — e aí você troca o problema de lugar, porque passa a precisar confiar no aplicativo verificador. Como o cenário de risco real está em instalador de computador, a recomendação prática é fazer a conferência no computador mesmo.

Assinatura digital é melhor que hash?

Resolve mais, sim. O hash prova que o arquivo não mudou em relação a um valor de referência; a assinatura prova, além disso, que aquele valor veio de quem diz ter publicado — porque está atrelada a uma chave privada. Quando o fornecedor oferece as duas coisas, confira as duas. Quando oferece só o hash, você fica dependente de confiar na página que o exibe.

Fatos verificados, análise e opinião editorial

Fatos verificados

O NIST especifica o SHA-256 na família SHA-2 e descreve hashes como resumos usados para detectar alterações em mensagens.
O Get-FileHash do PowerShell calcula hashes de arquivos e usa SHA-256 por padrão.
O GNU Coreutils oferece utilitários SHA-2, incluindo sha256sum, para imprimir ou verificar resumos.
O VirusTotal aceita a pesquisa de relatórios por SHA-256 e identifica objetos de arquivo por esse hash.

Análise

Um hash correspondente comprova integridade apenas em relação ao valor usado como referência; não comprova que o fornecedor ou o arquivo sejam benignos.
Pesquisar o hash antes de enviar o arquivo preserva melhor a privacidade, mas só funciona quando o VirusTotal já conhece aquela amostra.
Um relatório sem detecções deve ser combinado com origem, assinatura digital, data da análise e contexto do download.

Opinião editorial

Para downloads de sistema, firmware, ferramentas administrativas e programas fora das lojas oficiais, calcular o SHA-256 vale o minuto gasto. A melhor rotina é simples: origem oficial, hash correspondente e análise de reputação antes do primeiro clique.

Referências

Nota de transparência: este texto foi produzido com assistência de inteligência artificial e passou por revisão editorial humana antes da publicação.