Как проверить SHA-256 скачанного файла и что делать при несовпадении

Для проверки нужны две вещи: скачанный файл и эталонная контрольная сумма SHA-256, которую издатель опубликовал для той же версии файла. Рассчитайте хеш локально и сравните две строки. Совпадение даёт сильное практическое подтверждение целостности относительно эталона. При несовпадении файл нельзя считать проверенным.

Откройте проверку контрольной суммы файла, выберите файл и вставьте опубликованную SHA-256 в поле сравнения. Инструмент читает файл локально частями, не загружает его на сервер и показывает явный результат совпадения.

Шаг 1. Найдите эталон у издателя

Ищите строку SHA-256 рядом с кнопкой загрузки, в карточке релиза или в файле вида SHA256SUMS. Важно взять сумму для точного варианта:

• той же версии;
• той же операционной системы и архитектуры;
• того же формата, например ZIP, ISO или установочного файла;
• того же имени релизного артефакта.

Не используйте хеш из случайного комментария, зеркала или сообщения без понятного владельца. Если злоумышленник может заменить и файл, и опубликованную рядом сумму, их совпадение не подтверждает источник.

Шаг 2. Рассчитайте SHA-256 локально

Выберите исходный скачанный файл, не распаковывайте и не пересохраняйте его перед проверкой. Даже небольшое изменение почти наверняка создаст другой хеш.

Fileify считает SHA-256, SHA-1 и MD5 в браузере. Для сравнения выберите тот же алгоритм, который указал издатель: SHA-256 нельзя сопоставить со строкой MD5 или SHA-1. Для новых публикаций предпочтительна SHA-256. Старые каталоги могут публиковать только SHA-1 или MD5 — тогда для проверки придётся рассчитать именно этот алгоритм.

Инструмент читает файл блок за блоком и показывает прогресс. Жёсткого лимита размера у него нет, но скорость и практический предел зависят от устройства, браузера и доступной памяти.

Шаг 3. Сравните строки

Скопируйте эталонную сумму целиком. SHA-256 обычно записывают как 64 шестнадцатеричных символа. Поле сравнения игнорирует регистр букв, а также пробелы в начале и конце, поэтому A1B2… и a1b2… сравниваются одинаково.

Сверять длинный хеш глазами рискованно: одинаковые начало и конец не означают, что совпадает вся строка. Используйте автоматическое состояние «совпадает» или «не совпадает».

Что именно доказывает совпадение

Совпавшая SHA-256 даёт сильное практическое подтверждение, что выбранный файл соответствует опубликованному эталону. Это помогает обнаружить неполную загрузку, повреждение при хранении или подменённую версию.

Но контрольная сумма не является цифровой подписью. Она не сообщает, кто создал файл, и не проверяет личность издателя. Для проверки происхождения эталон должен быть получен из доверенного официального канала. Если издатель даёт подписанный файл сумм или отдельную подпись, проверяйте её рекомендованным им инструментом — это отдельный шаг.

Почему SHA-256 может не совпасть

Сначала проверьте обычные причины:

1. Вы выбрали другой релиз, архитектуру или вариант пакета.
2. На странице уже опубликована сумма новой версии, а файл скачан раньше.
3. Браузер переименовал файл, но содержимое должно остаться прежним — само имя на хеш не влияет.
4. Файл распаковали, пересобрали или пересохранили. Проверять нужно именно тот артефакт, для которого дана сумма.
5. Загрузка завершилась с ошибкой или файл изменился при передаче и хранении.

При несовпадении не запускайте установщик и не открывайте неизвестный архив. Удалите сомнительную копию, заново скачайте нужный вариант с официального адреса и повторите проверку. Если результат снова отличается, проверьте уведомления издателя или обратитесь в его поддержку.

Чек-лист перед запуском файла

• Эталон получен с официальной страницы или из проверенного подписанного списка.
• Версия, платформа, архитектура и имя артефакта совпадают.
• Выбран исходный файл до распаковки или изменения.
• Рассчитан тот же алгоритм, который указал издатель.
• Сравнена вся строка, а не несколько символов.
• При несовпадении файл не запускался и был скачан повторно.

Сохраните ссылку на релиз вместе с эталонной суммой, если проверку понадобится повторить позднее: одна строка хеша без контекста не объясняет, к какому файлу она относится.