Kostenloser SRI-Hash-Generator

Der SRI-Hash-Generator ist ein kostenloses Online-Tool, das Subresource-Integrity-Hashes für externe Skripte und Stylesheets erstellt, um vor einer Kompromittierung des CDN zu schützen.

Ja, er ist völlig kostenlos und erfordert keine Registrierung. Die gesamte Hash-Erzeugung erfolgt clientseitig in Ihrem Browser.

SRI-Hashes stellen sicher, dass von CDNs geladene externe Skripte nicht manipuliert wurden. Ändert sich die Datei, blockiert der Browser deren Ausführung.

Absolut. Der SRI-Hash-Generator verarbeitet alles clientseitig in Ihrem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Ihre Inhalte bleiben jederzeit privat auf Ihrem Gerät.

Ja, der SRI-Hash-Generator ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Sie können ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ohne eine App herunterladen zu müssen.

Es ist kein Konto und keine Registrierung erforderlich. Öffnen Sie einfach den SRI-Hash-Generator in Ihrem Browser und beginnen Sie sofort mit der Nutzung. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Geben Sie einfach Ihren Text in das vorgesehene Feld ein, passen Sie die Einstellungen nach Wunsch an, und das Tool verarbeitet ihn sofort. Anschließend können Sie das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der SRI-Hash-Generator funktioniert in allen modernen Browsern, darunter Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwenden Sie die neueste Version Ihres bevorzugten Browsers.

Alle drei sind SHA-2-Hashfunktionen und alle sind für Subresource Integrity gültig; der Unterschied liegt in der Länge des Digests und der damit verbundenen Sicherheitsmarge. SHA-256 erzeugt einen 256-Bit-Hash, SHA-384 einen 384-Bit-Hash und SHA-512 einen 512-Bit-Hash, sodass das integrity-Attribut zunehmend länger wird. Die W3C-Spezifikation nennt SHA-384 als empfohlenen Standard, weil es eine starke Sicherheitsmarge mit der Attributlänge ausbalanciert — deshalb wählt dieses Tool es standardmäßig aus. Du bist aber nicht daran gebunden: Du kannst sogar mehrere Hashes in einem Attribut auflisten, etwa integrity="sha384-... sha512-...", und der Browser verwendet dann den stärksten Algorithmus, den er versteht. Generiere deine Datei hier, und das Tool liefert alle drei Digests auf einmal, wobei der zu deinem gewählten Algorithmus passende als primär markiert ist, sodass du kopieren kannst, was du bevorzugst.

Subresource Integrity kann nur eine Datei verifizieren, die der Browser lesen darf, und bei einer Ressource, die von einem anderen Ursprung als deiner Seite geladen wird, kommt diese Erlaubnis von CORS. Das Hinzufügen von crossorigin="anonymous" veranlasst den Browser, eine anonyme Cross-Origin-Anfrage zu senden, und solange der Host die richtigen CORS-Header zurückgibt, wird die Antwort lesbar, sodass ihr Hash berechnet und verglichen werden kann. Lässt du das Attribut weg, behandelt der Browser die Cross-Origin-Antwort als undurchsichtig: Er kann die Bytes nicht lesen, den Integritätshash nicht verifizieren und weigert sich, die Ressource zu laden — dein Skript oder Stylesheet schlägt also stillschweigend fehl. Deshalb enthält jedes Script- und Link-Tag, das dieses Tool erzeugt, bereits crossorigin="anonymous". Füge deine Datei oder URL ein, kopiere das fertige Tag, und das CORS-Attribut ist für dich schon erledigt.

Sobald du ein integrity-Attribut hinzufügst, lädt der Browser die Ressource herunter, hasht die Bytes mit dem angegebenen Algorithmus und vergleicht das Ergebnis mit dem von dir angegebenen Wert. Stimmen sie überein, läuft die Datei normal. Weichen sie aus irgendeinem Grund ab — die Datei wurde verändert, ersetzt oder das CDN wurde kompromittiert —, verweigert der Browser die Nutzung vollständig: Ein blockiertes Skript wird nie ausgeführt, ein blockiertes Stylesheet nie angewendet, und in der Konsole erscheint ein Netzwerkfehler. Dieser harte Fehlschlag ist genau der Sinn der Sache: Eine stille Supply-Chain-Kompromittierung wird zu einer sichtbaren, erzwungenen Blockade, statt manipulierten Code laufen zu lassen. Da eine blockierte Ressource eine Seite beschädigen kann, kann dieses Tool zusätzlich einen onerror-Fallback erzeugen, der auf eine lokale Kopie umschaltet, sodass die Seite sanft degradiert. Erzeuge oben einen Hash und füge ihn deinem Tag hinzu, um diesen Schutz zu aktivieren.

Ein SRI-Hash verifiziert genau eine Momentaufnahme einer Datei, daher bricht jede legitime Änderung ihn absichtlich. Wenn eine Bibliothek eine neue Version veröffentlicht, das CDN einen gepatchten Build ausliefert oder du eine gepinnte URL aktualisierst, unterscheiden sich die Bytes, und der alte Hash passt nicht mehr — der Browser blockiert die Ressource, bis du sie neu generierst. Die Lösung besteht darin, für die neue Datei einen frischen Hash zu berechnen und den Wert in deinem integrity-Attribut zu ersetzen. Um überraschende Ausfälle zu vermeiden, pinne auf eine versionierte, unveränderliche URL statt auf einen mitlaufenden „latest“-Pfad, sodass sich die Datei nur ändert, wenn du bewusst auf eine neue Version verweist. Füge in diesem Fall die aktualisierte Datei oder ihre URL in dieses Tool ein, generiere den neuen Hash und kopiere das ersetzte Tag direkt in dein HTML.

Wenn du Inhalte einfügst oder eine Datei hochlädst, wird sie vollständig in deinem Browser gehasht, sodass nichts dein Gerät verlässt. Der Batch-Modus ist anders: Um ein entferntes Asset zu hashen, muss zunächst die Datei heruntergeladen werden, und dieser Abruf ist eine echte Cross-Origin-Anfrage, die der CORS-Richtlinie des Hosts unterliegt. Liefert das CDN oder der Server keine großzügigen CORS-Header zurück, blockiert der Browser die Antwort — dein Code kann sie nicht lesen —, und der Abruf schlägt fehl, obwohl die Datei existiert und die URL korrekt ist. Manche Hosts limitieren oder verweigern zudem automatisierte Anfragen. Das ist eine Einschränkung des entfernten Servers, nicht des Hashs selbst, denn dieselbe Datei, eingefügt statt abgerufen, wird problemlos gehasht. Für garantiert zuverlässige Ergebnisse lade die Datei herunter und nutze stattdessen den Einfüge- oder Upload-Tab. Probiere hier die Batch-Vorlagen für populäre Bibliotheken aus und weiche bei einer blockierten URL auf den Einfüge-Modus aus.