Segurança e Privacidade

Como verificar se um arquivo baixado é seguro com SHA-256

Aprenda a calcular e comparar o hash SHA-256 de downloads no Windows, macOS e Linux — e a consultar o VirusTotal sem enviar o arquivo.

Comparar o SHA-256 calculado no seu computador com o hash publicado pelo desenvolvedor é uma forma rápida de confirmar que um download não foi alterado. Se os valores forem diferentes, não abra o arquivo. Se forem iguais, você confirmou a integridade em relação à referência — mas ainda precisa confiar no site que publicou tanto o arquivo quanto o hash.

Este guia mostra o procedimento no Windows, macOS e Linux, sem instalar programas extras. Quando não houver um hash oficial, você também pode pesquisar o valor no VirusTotal sem enviar o arquivo.

O que um hash SHA-256 verifica

Um hash é um resumo de tamanho fixo calculado a partir do conteúdo de um arquivo. Segundo o padrão FIPS 180-4 do NIST, até uma alteração no conteúdo tende a produzir outro resumo. É isso que permite conferir se duas cópias são idênticas.

Na prática, a verificação responde a esta pergunta:

O arquivo que chegou ao meu computador é exatamente o mesmo arquivo representado pelo SHA-256 publicado?

Ela não responde, sozinha, se o programa é confiável. Um site comprometido poderia distribuir um arquivo malicioso e trocar o hash exibido na mesma página. Por isso, obtenha o hash em uma fonte oficial e, quando possível, em um canal separado — por exemplo, documentação oficial, repositório do projeto ou comunicado assinado.

Se quiser ampliar sua rotina de proteção, veja este resumo de boas práticas de segurança da informação.

Antes de começar: encontre o hash oficial

Procure na página de download por termos como:

SHA-256, SHA256, checksum ou checksums;
um arquivo como SHA256SUMS;
a página de releases do repositório oficial.

Um SHA-256 costuma aparecer como uma sequência de 64 caracteres hexadecimais. Copie o valor correspondente exatamente à versão e ao sistema operacional do arquivo baixado.

Se o fornecedor não publica hashes, pule para a seção sobre VirusTotal. Nesse caso, você terá informação adicional sobre o arquivo, mas não a mesma prova de integridade oferecida por uma referência oficial.

Como calcular o SHA-256 no Windows

O PowerShell inclui o comando Get-FileHash. A documentação da Microsoft informa que ele usa SHA-256 por padrão, mas vale declarar o algoritmo para deixar o procedimento explícito.

Passo a passo

Abra o PowerShell.
Digite o comando abaixo, ajustando o caminho do arquivo:

Get-FileHash -Algorithm SHA256 "C:\Users\SeuNome\Downloads\arquivo.iso"

Copie o valor exibido na coluna Hash.
Compare-o com o SHA-256 publicado na fonte oficial.

Você também pode digitar Get-FileHash -Algorithm SHA256, deixar um espaço e arrastar o arquivo para a janela do PowerShell para preencher o caminho.

Como calcular o SHA-256 no macOS

O macOS inclui o utilitário shasum. Abra o Terminal e execute:

shasum -a 256 ~/Downloads/arquivo.iso

O primeiro bloco exibido é o SHA-256. Compare os 64 caracteres com a referência oficial.

Uma página do Apple Business Manager também documenta o uso de shasum -a 256 para gerar o hash de um pacote.

Como calcular o SHA-256 no Linux

Em distribuições com GNU Coreutils, use:

sha256sum ~/Downloads/arquivo.iso

O manual oficial do GNU Coreutils descreve os utilitários SHA-2 como ferramentas para imprimir ou verificar resumos de arquivos.

Se o projeto fornecer um arquivo SHA256SUMS, você pode automatizar a comparação na pasta do download:

sha256sum --check SHA256SUMS

O resultado OK só vale para a entrada correspondente ao arquivo verificado. Confirme também que o próprio arquivo de checksums veio de uma fonte autêntica.

Como comparar sem cair em um erro visual

Hashes longos são fáceis de confundir. Evite conferir apenas o começo e o fim: compare o valor inteiro.

Opção simples

Cole o hash calculado e o hash oficial em um editor de texto, um abaixo do outro. A comparação não diferencia letras maiúsculas de minúsculas, mas qualquer caractere diferente importa.

Resultado diferente

Se os hashes não coincidirem:

não execute nem abra o arquivo;
apague a cópia ou mova-a para quarentena;
baixe novamente, de preferência da página oficial;
confirme que escolheu a versão correta;
se a divergência continuar, avise o mantenedor do projeto.

Uma diferença pode vir de download incompleto, arquivo atualizado sem documentação ou adulteração. O hash indica a divergência; não identifica a causa.

Como consultar o hash no VirusTotal sem enviar o arquivo

O VirusTotal permite pesquisar relatórios por MD5, SHA-1 ou SHA-256. Ao colar apenas o hash, você consulta o banco de dados sem enviar o conteúdo do seu arquivo.

Acesse virustotal.com.
Abra a busca.
Cole o SHA-256 calculado.
Analise se já existe um relatório para aquele arquivo.

Isso é especialmente útil para um instalador público. Para documentos pessoais, corporativos ou confidenciais, não envie o arquivo a um serviço externo sem autorização. Consultar apenas o hash reduz a exposição, embora o próprio hash ainda possa funcionar como identificador de um arquivo conhecido. Antes de usar serviços de análise, vale entender como ler políticas de privacidade.

Como interpretar o resultado

Nenhum relatório encontrado: o arquivo pode apenas ser novo ou pouco distribuído. O resultado não prova que ele seja perigoso.
Nenhuma detecção: é um sinal favorável, não uma garantia de segurança.
Uma ou poucas detecções: podem ser falso positivo, mas exigem cautela e investigação.
Muitas detecções coerentes: não execute o arquivo e confirme a origem.

O próprio VirusTotal registra a data da última análise e os resultados de diferentes mecanismos. Considere também a reputação da fonte, a assinatura digital do programa e se o download era esperado.

O que o SHA-256 não substitui

Verificar o hash é uma camada de segurança, não um antivírus completo. Continue adotando estes cuidados:

baixe apenas de sites oficiais ou repositórios reconhecidos;
mantenha sistema operacional, navegador e antivírus atualizados;
desconfie de anexos e instaladores recebidos com urgência;
verifique a assinatura digital quando o fornecedor a disponibilizar;
mantenha backups antes de instalar software sensível.

Golpes modernos podem usar mensagens muito convincentes para levar você a baixar um arquivo. Este guia sobre IA usada em golpes e outras ameaças ajuda a reconhecer a engenharia social que acontece antes do download.

Fatos verificados, análise e opinião editorial

Fatos verificados

O NIST especifica o SHA-256 na família SHA-2 e descreve hashes como resumos usados para detectar alterações em mensagens.
O Get-FileHash do PowerShell calcula hashes de arquivos e usa SHA-256 por padrão.
O GNU Coreutils oferece utilitários SHA-2, incluindo sha256sum, para imprimir ou verificar resumos.
O VirusTotal aceita a pesquisa de relatórios por SHA-256 e identifica objetos de arquivo por esse hash.

Análise

Um hash correspondente comprova integridade apenas em relação ao valor usado como referência; não comprova que o fornecedor ou o arquivo sejam benignos.
Pesquisar o hash antes de enviar o arquivo preserva melhor a privacidade, mas só funciona quando o VirusTotal já conhece aquela amostra.
Um relatório sem detecções deve ser combinado com origem, assinatura digital, data da análise e contexto do download.

Opinião editorial

Para downloads de sistema, firmware, ferramentas administrativas e programas fora das lojas oficiais, calcular o SHA-256 vale o minuto gasto. A melhor rotina é simples: origem oficial, hash correspondente e análise de reputação antes do primeiro clique.

Referências

Nota de transparência: este texto foi produzido com assistência de inteligência artificial e passou por revisão editorial humana antes da publicação.