Cómo comprobar SHA256 en Windows y verificar una descarga

Has descargado un instalador o una imagen ISO y, junto al enlace, aparece una cadena de letras y números llamada SHA-256. ¿Hay que hacer algo con ella? Si quieres comprobar que tu copia corresponde al archivo que publica el desarrollador, sí: calcula su huella y compárala con la referencia. Puedes comprobar SHA256 en Windows sin instalar una aplicación adicional, utilizando PowerShell.

La parte importante llega después del comando: interpretar el resultado. Una coincidencia sirve para verificar la integridad respecto a una referencia, pero no convierte una descarga desconocida en un programa fiable. Vamos a separar esas dos ideas y a realizar la comprobación sin ejecutar el archivo descargado.

Cómo comprobar SHA256 en Windows con PowerShell

Abre el menú Inicio, escribe PowerShell y abre la aplicación. Para un archivo que tu usuario puede leer no necesitas abrirla como administrador. Escribe este comando sustituyendo la ruta de ejemplo por la de tu descarga:

Get-FileHash -LiteralPath 'C:\Descargas\archivo.iso' -Algorithm SHA256

La carpeta del ejemplo no tiene por qué existir en tu ordenador. Usa la ubicación real del archivo. Puedes obtenerla desde el Explorador con la opción de copiar como ruta, cuando esté disponible, o consultar sus propiedades. Mantén la ruta entre comillas si contiene espacios.

PowerShell mostrará el algoritmo, el hash y la ruta del archivo. Compara el valor completo de la columna Hash con el SHA-256 publicado para esa descarga. No basta con que coincidan los primeros caracteres ni con que ambos empiecen y terminen igual.

Microsoft documenta este comando en la referencia de Get-FileHash. Especificar el algoritmo en el comando hace visible qué estás calculando y evita mezclarlo con otro tipo de suma de comprobación.

Antes de copiar el comando: identifica la descarga exacta

Imagina que tienes dos instaladores de una aplicación: uno para x64 y otro para ARM64. Aunque se llamen casi igual y correspondan a la misma versión, son archivos diferentes. El hash de uno no sirve como referencia para el otro. Lo mismo ocurre con una edición portátil y un instalador, o con una ISO de escritorio y una imagen de servidor.

Revisa, por tanto, el nombre completo, la versión, la arquitectura y el tipo de paquete. Si la web publica varias filas de hashes, selecciona la fila de tu archivo. Apunta también de dónde has sacado la referencia: una comprobación bien hecha debe permitir volver a esa fuente.

Espera a que la descarga termine. No calcules la huella mientras el navegador todavía está escribiendo el archivo, mientras lo estás copiando desde un USB o mientras otra aplicación lo modifica. Necesitas comparar una copia completa y estable.

Comparar el hash automáticamente y evitar errores al leerlo

Leer una cadena larga a mano es incómodo. Una alternativa es guardar la referencia y el resultado en dos variables y pedir a PowerShell que los compare. Este bloque solicita los dos datos, comprueba el formato de la referencia y muestra un mensaje:

$rutaArchivo = Read-Host 'Pega la ruta completa del archivo'
$rutaArchivo = $rutaArchivo.Trim().Trim('"')
$hashEsperado = Read-Host 'Pega el SHA256 publicado por la fuente oficial'
$hashEsperado = $hashEsperado.Trim()
if ($hashEsperado -notmatch '^[0-9a-fA-F]{64}$') {
    throw 'La referencia debe contener exactamente 64 caracteres hexadecimales.'
}
$hashCalculado = (Get-FileHash -LiteralPath $rutaArchivo -Algorithm SHA256 -ErrorAction Stop).Hash
if ($hashCalculado -eq $hashEsperado) {
    'COINCIDE: el archivo concuerda con la referencia indicada.'
} else {
    'NO COINCIDE: revisa la descarga y no la ejecutes todavía.'
}

Cuando aparezca la primera pregunta, pega la ruta del archivo y pulsa Intro. En la segunda, pega únicamente el hash oficial, sin el nombre del archivo ni etiquetas como “SHA256:”. El bloque acepta letras mayúsculas o minúsculas. Si falta un carácter, sobra texto o has copiado otra clase de hash, se detiene antes de hacer la comparación.

El resultado depende de la referencia que tú proporcionas. Si pegas como “hash esperado” el que acabas de calcular en tu propio ordenador, obtendrás una coincidencia circular que no comprueba el origen de la descarga. La referencia debe venir del publicador o de un canal cuya autenticidad hayas comprobado.

El operador -eq compara las cadenas sin distinguir mayúsculas de minúsculas, tal como explica la documentación de operadores de comparación de PowerShell. En una representación hexadecimal, escribir una letra en mayúscula o minúscula no cambia el valor representado.

Qué hace el bloque y qué no hace

El bloque lee el archivo para calcular su huella y compara dos textos. No instala la descarga, no la abre como programa y no la envía a una web. Tampoco la elimina cuando encuentra una diferencia. Así puedes decidir el siguiente paso sin perder el archivo que estás investigando.

Si PowerShell informa de que no puede encontrar el archivo o leerlo, eso es un error de acceso, no una coincidencia ni una diferencia de hash. Primero resuelve la ruta o los permisos y después repite la comprobación. Evita dar por buena una operación que no ha llegado a producir un resultado.

Qué es SHA-256 y qué demuestra una coincidencia

Una función hash transforma los bytes de un archivo en una huella de longitud fija. SHA-256 produce 256 bits, que suelen mostrarse mediante 64 caracteres hexadecimales. La huella de una fotografía pequeña tiene la misma longitud que la de una ISO de varios gigabytes: no es una copia comprimida del archivo.

Para entender su uso cotidiano, piensa en dos cajas con el mismo nombre escrito por fuera. La etiqueta no demuestra que contengan lo mismo. El hash sirve para comparar el contenido digital de los archivos, en lugar de confiar solo en sus nombres. Si cambias el nombre de una descarga sin cambiar sus bytes, su huella se mantiene.

La comparación tiene tres preguntas diferentes detrás:

• Integridad: ¿mi archivo concuerda con la referencia que he obtenido?
• Autenticidad: ¿esa referencia procede realmente del publicador que creo?
• Seguridad: ¿es adecuado y seguro ejecutar ese programa en mi equipo?

Un SHA-256 coincidente responde a la primera pregunta en la práctica habitual de verificación. Para la segunda necesitas confiar en el canal de publicación o verificar una firma. La tercera exige considerar el origen, la reputación, los avisos de seguridad y el contexto de uso. Ninguna cadena de caracteres sustituye todo ese trabajo.

Hay un matiz técnico: los hashes tienen una longitud finita y los archivos posibles no. Por eso no conviene describirlos como una identificación matemáticamente única de cualquier contenido imaginable. Para comprobar descargas se emplean funciones criptográficas diseñadas para que encontrar coincidencias maliciosas resulte inviable en la práctica.

Dónde encontrar una referencia fiable

Empieza por la página oficial del proyecto o fabricante. Busca la sección de descargas, las notas de la versión o los archivos asociados a esa publicación. Las etiquetas pueden ser “SHA256”, “SHA-256”, “checksum”, “checksums” o “sumas de comprobación”. No todos los desarrolladores las ofrecen del mismo modo.

Puede aparecer el hash directamente en la página, en un archivo de texto o dentro de una lista con varias descargas. En este último caso, relaciona cada cadena con su nombre de archivo. No elijas una línea por su posición: una nueva versión puede cambiar el orden del listado.

Si llegas a la descarga a través de un buscador, comprueba el dominio antes de confiar en él. Un resultado patrocinado, un nombre parecido o un diseño convincente no bastan para identificar al fabricante. Los hábitos de navegación segura en Internet siguen siendo necesarios antes de llegar a la consola.

Un hash junto a un archivo no siempre basta

Supón que alguien publica un instalador modificado en una web falsa y calcula su SHA-256. El archivo y el hash coincidirán perfectamente, porque ambos los ha proporcionado la misma persona. La operación matemática funciona; lo que falla es la confianza en el origen.

Por eso, si utilizas un servidor espejo, conviene obtener la referencia desde el canal oficial o seguir el procedimiento de firmas del proyecto. Una firma digital añade una comprobación vinculada a una clave; esa clave también debe pertenecer al publicador esperado.

La guía oficial de verificación de Ubuntu separa la autenticidad y la integridad: utiliza una firma para comprobar la lista de sumas y después verifica la imagen descargada. Si trabajas con otro proyecto, sigue sus instrucciones concretas en lugar de copiar claves o comandos de una distribución distinta.

Ejemplo práctico para entender el resultado

Puedes practicar sin descargar ningún programa. Crea una carpeta de pruebas y guarda en ella un documento de texto que no contenga información personal. Calcula su SHA-256 y anota el resultado. Después haz una copia con otro nombre y calcula también la huella de esa copia.

Si la copia conserva exactamente los mismos bytes, los resultados coincidirán. Ahora modifica una palabra en la copia, guarda el documento y vuelve a calcular su hash. Verás una huella diferente. El cambio no tiene por qué producirse al principio del archivo: también cuenta una modificación al final.

En una prueba realizada para preparar esta guía, los bytes UTF-8 del texto Una descarga comprobada., sin salto de línea final ni marca BOM, produjeron este resultado:

8D83BA11C1588D1573EAE9F31287ED902E7DECDB99AACCD5B6255FD6112A25E7

PowerShell y CertUtil devolvieron la misma huella. Cambiar el punto final por un signo de exclamación hizo que la comparación devolviera False. Es una prueba de funcionamiento del procedimiento, no el hash de un instalador real que debas descargar.

Si escribes esa frase en un editor y obtienes otra huella, revisa la codificación y el salto de línea final. Dos textos que se ven iguales pueden tener bytes distintos. No necesitas dominar los detalles de codificación para verificar una ISO: calcula siempre el archivo original completo, sin abrirlo y volverlo a guardar.

Mi trayectoria combina desarrollo de software y docencia en FP Informática, incluida Seguridad Informática. Este tipo de ejercicio permite llevar una idea abstracta a una comprobación observable: primero comparas, después cambias una sola condición y finalmente interpretas el resultado. No hace falta utilizar malware ni exponer un equipo para aprender el concepto.

Para experimentar con cadenas de texto también tienes el generador de hashes del sitio. Su modo de texto sirve para observar cómo cambian las huellas al modificar una frase; para verificar una ISO o un instalador, utiliza el archivo completo con los comandos de esta guía. Calcular el hash de un nombre de archivo o de un hash publicado no equivale a calcular el del archivo.

Alternativa: comprobar SHA256 en Windows con CertUtil

Si estás en el Símbolo del sistema, puedes utilizar esta alternativa:

certutil -hashfile "C:\Descargas\archivo.iso" SHA256

Sustituye la ruta por la de tu archivo. La salida incluye el hash entre otros mensajes. Copia la línea de la huella completa y compárala con la referencia fiable. El mensaje que indica que el comando se ha completado significa que pudo calcular el resultado; no significa que haya comparado ese resultado con el fabricante.

La referencia oficial de CertUtil documenta la opción -hashfile. Esta utilidad tiene muchas otras funciones relacionadas con certificados, pero aquí solo utilizamos la que calcula un hash. No necesitas modificar certificados ni cambiar configuraciones del sistema.

Para una comprobación ocasional, cualquiera de las dos herramientas permite obtener la huella. PowerShell resulta cómodo cuando quieres guardar el valor y automatizar la comparación. No hace falta ejecutar ambas cada vez: hacerlo aquí ha servido para contrastar el ejemplo de prueba.

Qué hacer si los hashes no coinciden

No ejecutes el instalador ni utilices la ISO para preparar una instalación hasta entender la diferencia. Una discrepancia no demuestra por sí sola que haya un ataque, pero sí que esa comprobación no respalda la descarga. Repite el proceso con orden, sin cambiar la referencia para conseguir un resultado positivo.

1. Revisa versión, arquitectura y paquete

Comprueba si has comparado un instalador x64 con el hash del paquete ARM64, una edición distinta o una versión anterior. Presta atención a sufijos, números y extensiones. Si la página ofrece un ZIP y un EXE, cada uno necesita su propia referencia, aunque ambos permitan instalar la misma aplicación.

2. Revisa lo que has copiado

Comprueba que estás utilizando SHA-256 en los dos lados. No compares un SHA-256 con un SHA-512, un SHA-1 o un MD5. Revisa también que no hayas pegado el nombre del archivo, un espacio en medio de la cadena o una selección incompleta. El bloque de comparación anterior detecta varios de estos errores de formato.

3. Vuelve a descargar desde el origen correcto

Si has confirmado la referencia y sigue habiendo una diferencia, descarga otra copia desde el canal oficial. Usa nombres que te permitan distinguir ambas y verifica la nueva antes de utilizarla. Si el problema persiste, consulta la información del proyecto o comunica la incidencia al publicador.

Un archivo que cambia repetidamente de hash sin que tú lo edites merece una investigación distinta: puede estar siendo modificado por otro proceso o existir un problema de lectura o almacenamiento. No saltes directamente a una conclusión. Conserva los detalles de las pruebas y evita seguir utilizando esa copia como si estuviera validada.

Errores habituales con las rutas y las descargas

• “No se reconoce Get-FileHash”. Comprueba que has abierto PowerShell y no el Símbolo del sistema. Son consolas distintas.
• “No se encuentra la ruta”. Copia la ubicación real, confirma la extensión y revisa si el navegador ha añadido un sufijo al nombre.
• Acceso denegado. Usa un archivo que tu cuenta pueda leer. En un equipo gestionado, consulta al responsable antes de intentar cambiar permisos.
• La huella aparece cortada. Puedes mostrar solo su valor con (Get-FileHash -LiteralPath 'C:\Descargas\archivo.iso' -Algorithm SHA256).Hash.
• El cálculo tarda. Leer un archivo grande requiere tiempo. La duración depende del tamaño y del almacenamiento; no presupongas un bloqueo porque no sea instantáneo.

Un caso especialmente confuso aparece cuando comparas el contenido extraído de un ZIP con la referencia del ZIP. Son objetos diferentes. Si el publicador da el hash del archivo comprimido, calcula el hash del comprimido, antes de extraerlo. Lo mismo sucede si conviertes, recomprimes o editas un archivo: has cambiado lo que estás comprobando.

Cuándo merece la pena verificar una descarga

Es una comprobación útil antes de utilizar una ISO, conservar un instalador para varios equipos o distribuir una copia dentro de un entorno de trabajo autorizado. También ayuda a confirmar que una transferencia entre dos discos ha conservado el contenido, tomando como referencia una copia de origen conocida.

Si estás preparando una instalación de Windows o Linux, verifica la imagen antes de crear el medio de instalación. Así separas dos etapas: primero compruebas la descarga y después preparas el USB. Si aparece un problema al arrancar, ya sabes qué comprobación habías realizado sobre el archivo original.

Eso no verifica automáticamente el USB resultante ni garantiza la compatibilidad del equipo. Cada comprobación responde a una pregunta concreta. Mantener esa separación evita atribuir al hash propiedades que no tiene.

Dentro de una estrategia de seguridad activa informática, verificar descargas complementa las actualizaciones, la protección del equipo y el control del origen del software. No necesitas comprar una utilidad para realizar los pasos de esta guía.

Preguntas frecuentes

¿SHA256 y SHA-256 significan lo mismo?

En este contexto, sí. SHA-256 es la forma habitual de escribir el nombre del algoritmo; SHA256 es el identificador que utilizamos en los comandos mostrados.

¿Un hash que coincide garantiza que no hay virus?

No. Confirma la concordancia con la referencia utilizada. Un archivo malicioso también tiene hash, y su autor puede publicarlo. Verifica el origen y no ignores los avisos de seguridad porque dos cadenas coincidan.

¿Puedo comprobar un archivo sin conexión?

Sí, el cálculo es local. Para comparar necesitas haber obtenido previamente una referencia fiable y correspondiente a ese archivo. Estar sin conexión no permite averiguar por sí solo si una cadena guardada procede del fabricante.

¿Y si el fabricante no publica SHA-256?

No inventes una referencia ni utilices como prueba el hash de tu propia descarga. Revisa si ofrece firmas u otro procedimiento oficial. Si no existe un mecanismo disponible, explica esa limitación en lugar de dar el archivo por verificado.

¿Tengo que subir el archivo a una página para calcularlo?

No. PowerShell y el comando de CertUtil mostrado trabajan con la copia local. Para archivos privados, ese enfoque evita compartir su contenido con un servicio externo solo para obtener una huella.

¿Cambiar el nombre del archivo cambia el hash?

Renombrarlo no cambia su contenido. Editarlo, recomprimirlo o guardarlo con otra codificación sí puede cambiar los bytes y, por tanto, la huella calculada.

Para comprobar SHA256 en Windows con criterio, conserva una rutina sencilla: identifica la descarga exacta, obtén una referencia fiable, calcula la huella y compara todo el valor. Si coincide, habrás verificado la integridad respecto a esa referencia. Si no coincide, detente y revisa la causa antes de utilizar el archivo.