Una letra cambia, todo cambia
Haz la prueba en el widget: escribe «hola» y fíjate en su SHA-256, que empieza por b221d9db… Ahora pon la primera letra en mayúscula, «Hola», y la huella se convierte en e633f4fc…, sin ningún parecido con la anterior. Ese comportamiento, llamado efecto avalancha, es la esencia de una función hash: un algoritmo que toma datos de cualquier longitud —una palabra o una película entera— y devuelve una huella de tamaño fijo (256 bits en el caso de SHA-256, mostrados como 64 caracteres hexadecimales).
Tres propiedades hacen útil esa huella:
- Determinista: el mismo dato produce siempre el mismo hash, hoy y dentro de diez años, en cualquier máquina.
- Sensible: cambiar un solo bit de la entrada altera la huella por completo, como acabas de ver.
- Irreversible: del hash no se puede reconstruir el dato original; la función descarta información por el camino.
Para qué se usan los hashes en el mundo real
- Checksums de descargas: las webs de software publican el SHA-256 de sus instaladores; si el hash de tu copia coincide, el archivo llegó íntegro y sin manipular.
- Deduplicación: los servicios de almacenamiento calculan el hash de cada archivo y, si dos coinciden, guardan una sola copia. Es mucho más rápido que comparar los contenidos byte a byte.
- Control de versiones: Git identifica cada commit y cada archivo por su hash, lo que le permite detectar cualquier alteración del historial.
- Firmas y certificados: lo que se firma digitalmente no es el documento completo, sino su hash, que actúa como representante compacto e inalterable.
Hash no es cifrado (ni al revés)
Conviene separar tres conceptos que se confunden a menudo. El cifrado oculta datos y permite recuperarlos con la clave: es un viaje de ida y vuelta. La codificación, como Base64, solo cambia la representación y cualquiera puede deshacerla. El hash es un viaje solo de ida: no hay clave ni operación inversa que devuelva el original. Por eso no sirve para «guardar algo a escondidas», y por eso tampoco debes proteger contraseñas con un SHA-256 directo: para eso existen funciones lentas con sal como bcrypt o Argon2, diseñadas para frenar la fuerza bruta.
MD5 y SHA-1: por qué ya no valen para seguridad
Durante años los estándares fueron MD5 y SHA-1, y todavía los verás en sistemas antiguos. Ambos están rotos: se sabe fabricar dos contenidos distintos que producen exactamente el mismo hash (una colisión), lo que permite, por ejemplo, colar un archivo malicioso con la huella de uno legítimo. MD5 cayó primero y con SHA-1 la colisión práctica se demostró en 2017. Por eso Web Crypto, la API del navegador que usa esta herramienta, ni siquiera incluye MD5, y aquí SHA-1 se ofrece solo para comparar huellas antiguas. Para todo lo demás: SHA-256 como mínimo, con SHA-384 y SHA-512 disponibles si tu sistema exige huellas más largas.
Cómo se calcula aquí
El texto se codifica en UTF-8 y se procesa con la API nativa Web Crypto del navegador —la misma base criptográfica que usan las aplicaciones profesionales—, mostrando los cuatro algoritmos a la vez para que copies el que necesites. Todo ocurre en tu dispositivo. Si trabajas con datos y su representación, échales un ojo también al generador de UUID, al conversor de bases y al resto de herramientas.