Respuesta rápida: un instalador modificado con malware se ve exactamente igual que el original: mismo nombre, mismo icono, tamaño parecido. Lo único que lo delata es su huella digital — un código llamado hash que cambia por completo si se altera un solo byte del archivo. Calcula la huella de tu descarga y compárala con la que publica el fabricante: si coinciden, el archivo es idéntico al original; si no, no lo instales.
Cómo verificar un archivo paso a paso
- Descarga el archivo y no lo ejecutes todavía.
- Busca el hash oficial en la página de descargas del fabricante. Suele aparecer como «SHA-256», «Checksum» o en un archivo llamado SHA256SUMS.
- Arrastra tu archivo a la herramienta de arriba. La huella se calcula en tu equipo.
- Pega el hash oficial en el recuadro de comparación. Te decimos al instante si coinciden.
La regla que hace que esto funcione: el hash oficial tienes que obtenerlo tú, entrando a la web del fabricante escribiendo la dirección. Si el hash lo publica la misma página desde la que bajaste un archivo dudoso, no prueba nada — quien modificó el archivo también pudo publicar el hash correspondiente.
Qué es un hash, sin tecnicismos
Imagina una máquina que lee un archivo entero y devuelve siempre un código de 64 caracteres. La misma entrada da siempre el mismo código. Pero si cambias una sola coma dentro del archivo, el código resultante es completamente distinto — no parecido, distinto. Y no existe forma práctica de fabricar a propósito un archivo distinto que dé el mismo código.
Eso convierte al hash en un sello inviolable: si tu archivo produce la misma huella que publicó el fabricante, es bit por bit el mismo archivo que él construyó.
Cuándo deberías verificar
- Siempre que descargues fuera de la tienda oficial de tu sistema: instaladores para Windows, imágenes ISO de Linux, herramientas de seguridad, emuladores.
- Billeteras de criptomonedas. Es el caso donde más se falsifican instaladores, por razones obvias.
- Si el enlace te llegó por chat o correo, aunque venga de un conocido: su cuenta pudo estar comprometida.
- Si la descarga se interrumpió y quieres saber si el archivo llegó completo antes de perder media hora instalando.
- Antes de instalar en un equipo con datos importantes o desde una red que no controlas.
SHA-256, SHA-1 y MD5: cuál usar
| Algoritmo | Estado | Para qué sirve hoy |
|---|---|---|
| SHA-256 | Seguro y estándar actual | Verificar autenticidad. Es el que debes usar. |
| SHA-1 | Roto para uso criptográfico | Solo compatibilidad con sistemas antiguos. |
| MD5 | Roto desde hace años | Detectar descargas corruptas, nunca para confiar en un archivo. |
Si una web solo ofrece MD5, úsalo para comprobar que la descarga no se corrompió — pero no lo tomes como prueba de autenticidad: se puede fabricar un archivo malicioso que dé el mismo MD5 que el legítimo.
Qué hacer si los hashes no coinciden
- No ejecutes el archivo. Ni «solo para ver qué es».
- Bórralo y vacía la papelera.
- Vuelve a descargarlo desde la web oficial, escribiendo tú la dirección en el navegador.
- Si vuelve a no coincidir, el problema no es tu conexión: analiza el sitio de descarga con nuestro Verificador de Sitios Web y busca la fuente oficial real.
- Si ya lo habías ejecutado antes de verificar, pasa un análisis completo con el antivirus del sistema y cambia las contraseñas que hayas usado en ese equipo.
Los Tres Casos en que Esto Te Salva
Verificar un hash suena a cosa de técnicos, pero resuelve situaciones muy concretas que le pasan a cualquiera.
Descargaste un programa de un sitio que no es el oficial. Pasa constantemente: buscas un instalador, el primer resultado es una página de descargas que no es la del fabricante, y el archivo que baja puede traer software añadido. Si el fabricante publica el hash, comparas y sales de dudas.
Alguien te pasó un archivo por WhatsApp o por una memoria USB. El hash no te dice si tiene virus, pero sí si es idéntico al que la otra persona envió. Si no coincide, algo lo modificó por el camino.
Guardaste documentos importantes y quieres saber si siguen intactos. Actas, escrituras, fotos familiares. Calculas el hash cuando los guardas y lo vuelves a calcular un año después: si cambió, el archivo se corrompió y conviene recuperarlo de otra copia antes de que se pierda del todo.
El Error de Pensar que un Hash Detecta Virus
Es la confusión más común, y conviene ser claro: un hash solo dice si dos archivos son idénticos. Nada más.
Si descargas un programa que trae virus desde la página oficial del fabricante, el hash coincidirá perfectamente, porque el archivo es el que ellos publicaron. Y si un archivo limpio se corrompe al copiarse, el hash no coincidirá aunque no haya nada malicioso.
Para qué sirve entonces: para confirmar que lo que tienes en tu computadora es exactamente lo que el fabricante publicó, sin modificaciones de terceros por el camino. Es una comprobación de integridad, no de seguridad.
La combinación que sí funciona es esta: descarga siempre desde el sitio oficial, verifica el hash para confirmar que llegó íntegro, y pasa un antivirus si el archivo viene de una fuente que no controlas.
Dónde Encontrar el Hash Oficial
De poco sirve calcular el de tu archivo si no tienes con qué compararlo. Estos son los sitios donde suele estar.
En la misma página de descarga, normalmente debajo del botón o en un enlace llamado «checksums», «SHA-256» o «verificar descarga». Es lo habitual en programas de código abierto y en distribuciones de Linux.
En un archivo aparte con extensión .sha256 o .md5, que se descarga junto al programa.
En las notas de la versión, si el proyecto publica sus lanzamientos en una plataforma de desarrollo.
Y si no lo publica en ningún sitio, esa ausencia también dice algo: la mayoría de los proyectos serios lo ofrecen. Un instalador de una web cualquiera sin hash publicado es exactamente el caso en el que conviene desconfiar.
Cuánto Tarda y Qué Pasa con Archivos Grandes
El cálculo ocurre en tu propio navegador, así que el archivo no se sube a ningún servidor. Eso tiene dos consecuencias prácticas.
La primera es buena: puedes verificar documentos privados sin que salgan de tu computadora. Un contrato, una copia de seguridad o un archivo de trabajo no viajan a ninguna parte.
La segunda es una limitación: el trabajo lo hace tu equipo. Un archivo pequeño es instantáneo; uno de varios gigabytes puede tardar y hará trabajar al procesador mientras tanto. Si la pestaña parece congelada con un archivo enorme, está calculando, no fallando.
Un truco para los archivos muy grandes: si solo quieres comprobar que dos copias son iguales, compara primero el tamaño exacto en bytes. Si difiere, ya sabes que no coinciden y te ahorras el cálculo.
Qué Hacer si el Hash No Coincide
Antes de asumir lo peor, casi siempre es una de estas cuatro cosas.
La descarga se cortó. Es el motivo más frecuente. Bórrala y descárgala otra vez, preferiblemente con otra conexión.
Comparaste con el hash de otra versión. Cada versión del programa tiene el suyo. Comprueba que el número de versión del archivo y el de la página coinciden exactamente.
Usaste tipos distintos. El hash SHA-256 de un archivo no se parece en nada a su MD5. Si la página publica varios, elige el mismo que calculaste.
Y si tras todo eso sigue sin coincidir, no ejecutes el archivo. Bórralo y busca la descarga en el sitio oficial del fabricante.
Herramientas relacionadas
- LinkCheck — analiza el enlace de descarga antes de abrirlo.
- Analizador de Cabeceras de Correo — si el enlace te llegó por email, comprueba si el remitente es real.
- TechCheck — si tu equipo ya se comporta raro, empieza el diagnóstico aquí.
- Todas nuestras herramientas gratuitas.
Preguntas frecuentes
¿Se sube mi archivo a algún servidor?
No. El cálculo lo hace tu propio navegador con las funciones criptográficas que ya trae. El archivo no se envía a ninguna parte, así que puedes verificar documentos privados sin exponerlos.
¿Funciona con archivos grandes, como una ISO de varios GB?
Sí, aunque tarda proporcionalmente y consume memoria. En equipos con poca RAM, un archivo de varios gigas puede hacer que el navegador se quede sin recursos; en ese caso, verifícalo con la línea de comandos del sistema.
¿Cómo calculo un hash sin navegador?
En Windows, en PowerShell: Get-FileHash archivo.exe. En Mac o Linux: shasum -a 256 archivo.iso. Da exactamente el mismo resultado.
El hash coincide, ¿el programa es seguro entonces?
Significa que el archivo es idéntico al que publicó el fabricante — no que ese programa sea bueno o inofensivo. Si el propio fabricante distribuye software no deseado, el hash coincidirá igualmente. Verifica la integridad y, aparte, decide en quién confías.
¿Por qué mi hash tiene distinta longitud que el oficial?
Porque son algoritmos diferentes: SHA-256 son 64 caracteres y SHA-1, 40. Elige arriba el mismo que publica el fabricante y vuelve a comparar. La herramienta te avisa cuando detecta este caso.
Guarda esta página en favoritos: el momento de verificar un instalador es siempre justo antes de ejecutarlo, no después.
