Sobre o Gerador de Hash
Este gerador de hash grátis calcula os hashes MD5, SHA-1, SHA-256, SHA-384 e SHA-512 de qualquer texto, todos ao mesmo tempo e em tempo real enquanto você digita.
Os hashes são calculados no seu navegador pela API Web Crypto — seu texto nunca é enviado.
O que é um hash
Uma função de hash recebe uma entrada de qualquer tamanho e produz uma impressão digital de tamanho fixo. Dê a ela um único caractere ou um livro inteiro; o SHA-256 devolve 64 caracteres hexadecimais nos dois casos.
Três propriedades fazem dela algo útil:
Determinística. A mesma entrada sempre dá o mesmo hash. Sempre, em qualquer máquina, para sempre.
Efeito avalanche. Mude um único bit da entrada e cerca de metade dos bits da saída se inverte. hello e hellp produzem hashes sem nenhuma semelhança visível. Não existe "quase" — um hash ou bate exatamente ou não diz nada.
Mão única. Não dá para voltar de um hash até a entrada. A função descarta informação de propósito e não existe inversa.
Esta última propriedade é o ponto principal, e é por isso que hash não é criptografia.
Gerar hash não é criptografar
A criptografia é de mão dupla: com a chave, você recupera o original. Esse é todo o objetivo dela.
O hash é de mão única por design. Não há chave nem caminho de volta. Um documento de 500 páginas e uma única letra viram, os dois, 64 caracteres — a maior parte da informação simplesmente desapareceu.
Por isso a pergunta que um hash responde nunca é "o que era isto?", e sim "isto é igual àquilo?". Compare dois hashes: iguais significa que as entradas eram iguais; diferentes significa que não eram.
Daí vem um equívoco comum. "Descriptografar" um hash MD5 não existe. O que os sites de consulta fazem na verdade é calcular antes o hash de bilhões de entradas comuns e verificar se a sua está na tabela. Eles não estão invertendo a função; estão reconhecendo um valor que já viram. Qualquer coisa incomum não está na tabela.
MD5 e SHA-1 estão quebrados — veja o que isso significa
Os dois continuam aparecendo em todo lugar, e os dois são inseguros para fins de segurança. Vale a pena saber exatamente de que forma.
Uma colisão são duas entradas diferentes que produzem o mesmo hash. Isso deveria ser inviável. Para o MD5 hoje é trivial — dá para gerar colisões em segundos num computador comum. O SHA-1 caiu em 2017, quando o Google demonstrou dois PDFs diferentes com o mesmo hash SHA-1, e o ataque só ficou mais barato desde então.
Por que isso importa: se alguém consegue criar dois arquivos com hashes iguais, um hash deixa de provar que um arquivo é aquele que você esperava. Um documento assinado poderia ser trocado por outro documento com a mesma impressão digital.
Onde o MD5 ainda serve: detectar corrupção acidental. Se você quer saber se um download chegou intacto, ou se dois arquivos no seu disco são duplicados, o MD5 funciona e é rápido. Uma corrupção aleatória não vai produzir uma colisão.
Onde não serve: em tudo em que alguém possa estar tentando te enganar — verificar a autenticidade de um download, assinar ou armazenar senhas.
Use SHA-256 para tudo o que importa. Ele não tem nenhum ataque prático de colisão conhecido, é rápido e é a opção padrão nos sistemas modernos. O SHA-512 não é muito mais seguro na maioria dos casos, embora possa ser mais rápido em hardware de 64 bits.
Nunca armazene senhas com um hash simples
Este é o mau uso de funções de hash com as consequências mais graves, e ele causa vazamentos reais.
Calcular o hash SHA-256 de uma senha e armazenar o resultado não basta. O problema são os hashes rápidos: o SHA-256 foi feito para ser veloz, e o hardware moderno calcula bilhões por segundo. Um invasor que roube seu banco de dados simplesmente testa todas as senhas prováveis até os hashes baterem.
Dois problemas extras pioram a situação. Senhas iguais produzem hashes iguais, então um invasor vê na hora quais contas usam a mesma senha. E as tabelas pré-calculadas fazem com que senhas comuns sejam reconhecidas sem esforço nenhum.
O jeito certo usa uma função de hash para senhas, feita para ser lenta e pesada em memória: bcrypt, scrypt ou Argon2. Elas adicionam um salt aleatório único por senha, para que senhas iguais gerem hashes diferentes, e são propositalmente custosas — ajustadas para que uma única verificação leve uma fração de segundo perceptível, tornando inviáveis bilhões de tentativas.
Use uma biblioteca adequada. Armazenamento de senhas não é algo que se constrói a partir de primitivas de hash.
Para que os hashes realmente servem
- Verificar downloads — comparar o checksum publicado com o arquivo baixado
- Detectar arquivos duplicados — hashes iguais significam conteúdos iguais
- Detecção de alterações — este arquivo, log ou configuração foi modificado?
- Endereçamento por conteúdo — o Git dá a cada commit e a cada objeto o nome do seu hash
- Integridade dos dados — confirmar que uma transferência ou um backup chegou sem corrupção
- Chaves de cache — um identificador curto e estável derivado de um conteúdo maior
- Assinaturas digitais — calcula-se o hash do documento e depois se assina o hash
Como usar
- Digite ou cole o seu texto
- Os hashes são atualizados em tempo real para cada algoritmo
- Copie qualquer hash com o botão de copiar correspondente
Bom saber
- O tamanho da saída é fixo. O MD5 dá 32 caracteres hexadecimais, o SHA-1 dá 40, o SHA-256 dá 64, o SHA-512 dá 128 — não importa o tamanho da entrada.
- Tudo conta. Um espaço no final, uma quebra de linha no fim de um arquivo ou um fim de linha diferente muda completamente o hash. É o motivo mais comum para um checksum que "deveria" bater e não bate.
- A codificação importa. Esta ferramenta calcula o hash do seu texto como UTF-8. Calcular o hash dos mesmos caracteres em outra codificação dá um resultado diferente.
- Maiúsculas são convenção, não significado. Os hashes muitas vezes aparecem em maiúsculas ou minúsculas; o valor é o mesmo. Compare sem diferenciar maiúsculas.
- Uma entrada vazia também tem hash — uma constante bem conhecida para cada algoritmo.
- Para arquivos grandes é melhor usar as ferramentas do próprio sistema operacional: certutil -hashfile no Windows, shasum -a 256 no macOS e no Linux.
Perguntas frequentes
Qual é a diferença entre hash e criptografia?
A criptografia é reversível — com a chave certa você recupera os dados originais, que é todo o objetivo. O hash é de mão única por design: produz uma impressão digital de tamanho fixo e não há caminho de volta, porque a maior parte da informação é descartada de propósito. O hash responde "essas duas coisas são iguais?", nunca "o que era isto?".
Dá para descriptografar ou reverter um hash?
Não. O que os sites de consulta oferecem não é reversão, e sim reconhecimento: eles calcularam antes o hash de bilhões de textos comuns e verificam se o seu aparece na tabela. Senhas comuns e palavras de dicionário são encontradas na hora; qualquer coisa incomum não está na tabela e nunca vai estar. A função em si não pode ser invertida.
O MD5 ainda é seguro?
Só para detectar corrupção acidental, como verificar se um download chegou intacto ou encontrar arquivos duplicados. Contra um ataque proposital ele está completamente quebrado — dois arquivos diferentes com o mesmo MD5 podem ser criados em segundos. O SHA-1 também está quebrado, como foi demonstrado em 2017 com PDFs em colisão. Use SHA-256 para tudo o que envolva confiança.
Qual algoritmo de hash devo usar?
SHA-256 para quase tudo. É rápido, amplamente suportado e não tem nenhum ataque prático de colisão conhecido. O SHA-512 é uma alternativa razoável e pode ser mais rápido em sistemas de 64 bits, embora não seja muito mais seguro na prática. Deixe o MD5 e o SHA-1 para compatibilidade com sistemas antigos e para verificações sem implicações de segurança.
Posso usar isto para gerar o hash das senhas do meu site?
Por favor, não. Hashes rápidos como o SHA-256 são a ferramenta errada: o hardware consegue calcular bilhões por segundo, então um banco de dados roubado é quebrado por força bruta rapidinho. Use bcrypt, scrypt ou Argon2, que adicionam um salt único por senha e são propositalmente lentos. Sempre use uma biblioteca consolidada em vez de montar você mesmo o armazenamento de senhas.
Por que meu hash não bate com o publicado no site?
Quase sempre por uma diferença invisível na entrada. Um espaço no final, uma quebra de linha a mais ou a menos no fim, ou fins de linha do Windows em vez dos do Unix mudam completamente o hash — é o efeito avalanche funcionando corretamente. Verifique também se você está comparando o mesmo algoritmo, já que uma página pode listar vários.
Meu texto é enviado para um servidor?
Não. Os hashes SHA são calculados pela implementação Web Crypto embutida no seu navegador e o MD5 é calculado em JavaScript, os dois inteiramente no seu dispositivo. Nada é transmitido nem armazenado, e a ferramenta funciona com a internet desligada.
Ferramentas relacionadas
- Checksum de arquivo e conferência — calcular o hash de um arquivo real em vez de texto colado
- Gerador de senhas — criar senhas fortes que valem a pena ser armazenadas do jeito certo
- Codificar / Decodificar Base64 — uma codificação que, ao contrário do hash, é reversível
- Decodificador JWT — tokens cujas assinaturas dependem dessas funções de hash
