Calcolare un hash SHA-256
Un'impronta è una firma di lunghezza fissa: basta un carattere diverso e cambia del tutto. Serve a confrontare, mai a nascondere: dall'impronta non si torna al testo originale.
Calcolo eseguito dall'API Web Crypto del browser, la stessa implementazione usata per il TLS. Nulla viene inviato.
Come funziona il controllo
- 1
Il testo diventa byte
Codifica UTF-8, perché due testi identici diano la stessa impronta ovunque.
- 2
Si calcolano quattro impronte
SHA-1, SHA-256, SHA-384 e SHA-512, tramite crypto.subtle.digest.
- 3
Il risultato è reso in esadecimale
64 caratteri per SHA-256, la forma attesa dalla maggior parte degli strumenti.
SHA-256 non è fatto per le password
Un'impronta SHA si calcola in nanosecondi, ed è esattamente il problema: una scheda grafica ne prova miliardi al secondo. Per una password serve una funzione lenta e salata: bcrypt, scrypt o Argon2.
SHA-256 resta lo strumento giusto per ciò a cui serve: verificare che un file non sia cambiato, indicizzare contenuti, firmare un messaggio.
SHA-1 è qui per compatibilità
È rotto dal 2017: si sanno fabbricare due documenti diversi con la stessa impronta. Non deve più servire a nulla di legato alla sicurezza, ma sistemi datati lo usano ancora e talvolta va ricalcolato.
Domande frequenti
Si può risalire al testo dal suo hash?
No, la funzione non è invertibile. Ma un testo breve e prevedibile — una parola del dizionario, una password comune — si ritrova per forza bruta o con una tabella precalcolata in pochi secondi. L'irreversibilità matematica non protegge un segreto debole.
Due testi possono avere lo stesso hash?
Teoricamente sì: i testi sono infiniti, le impronte finite. In pratica nessuna collisione SHA-256 è mai stata prodotta. Per SHA-1 è avvenuto nel 2017, e questo lo ha ritirato dagli usi seri.
Perché il mio hash differisce da quello di un altro strumento?
Quasi sempre per un carattere invisibile: un a capo finale, uno spazio in coda o una codifica diversa. Un'impronta copre byte esatti, non un testo «più o meno» uguale.
Lo stesso controllo via API
Questo strumento gira nel vostro browser. Per lo stesso controllo dal vostro codice, in blocco o lato server, l'API risponde in JSON.
Vedi la documentazione