Generador de hash SRI gratis

El generador de hashes SRI es una herramienta en línea gratuita que crea hashes de Subresource Integrity para scripts y hojas de estilo externos, protegiéndolos frente al compromiso de una CDN.

Sí, es completamente gratuito y no requiere registro. Toda la generación de hashes se realiza del lado del cliente en tu navegador.

Los hashes SRI garantizan que los scripts externos cargados desde CDN no han sido manipulados. Si el archivo cambia, el navegador impedirá que se ejecute.

Por supuesto. El generador de hashes SRI procesa todo del lado del cliente en tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el generador de hashes SRI es totalmente adaptable y funciona en teléfonos y tabletas. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el generador de hashes SRI en tu navegador y empieza a usarlo de inmediato. No hay barreras de registro ni restricciones de uso.

Solo tienes que introducir tu texto en el campo correspondiente, ajustar las opciones a tu gusto y la herramienta lo procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El generador de hashes SRI funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Los tres son funciones hash de la familia SHA-2 y los tres son válidos para Subresource Integrity; la diferencia está en la longitud del resumen y el margen de seguridad que ofrece. SHA-256 produce un hash de 256 bits, SHA-384 uno de 384 bits y SHA-512 uno de 512 bits, así que el atributo integrity se va alargando progresivamente. La especificación del W3C designa SHA-384 como opción predeterminada recomendada porque equilibra un margen de seguridad sólido con la longitud del atributo, y por eso esta herramienta lo selecciona por defecto. Aun así, no estás obligado a usar solo uno: puedes incluso listar varios hashes en un mismo atributo, como integrity="sha384-... sha512-...", y el navegador usará el algoritmo más fuerte que reconozca. Genera tu archivo aquí y la herramienta devuelve los tres resúmenes a la vez, con el que coincide con el algoritmo seleccionado marcado como principal para que copies el que prefieras.

Subresource Integrity solo puede verificar un archivo que el navegador tenga permiso para leer, y en el caso de un recurso cargado desde un origen distinto al de tu página, ese permiso proviene de CORS. Añadir crossorigin="anonymous" hace que el navegador envíe una solicitud de origen cruzado anónima, y siempre que el servidor devuelva las cabeceras CORS correctas, la respuesta se vuelve legible para poder calcular y comparar su hash. Si se omite el atributo, el navegador trata la respuesta de origen cruzado como opaca: no puede leer los bytes, no puede verificar el hash de integridad y se niega a cargar el recurso, por lo que tu script u hoja de estilos falla en silencio. Por eso cada etiqueta script y link que genera esta herramienta ya incluye crossorigin="anonymous". Pega tu archivo o URL, copia la etiqueta terminada y el atributo CORS queda resuelto por ti.

Cuando añades un atributo integrity, el navegador descarga el recurso, calcula el hash de los bytes con el algoritmo indicado y compara el resultado con el valor que proporcionaste. Si coinciden, el archivo se ejecuta con normalidad. Si difieren por cualquier motivo —el archivo fue modificado, reemplazado o el CDN fue comprometido—, el navegador se niega a usarlo por completo: un script bloqueado nunca se ejecuta y una hoja de estilos bloqueada nunca se aplica, y se registra un error de red en la consola. Este fallo estricto es precisamente el objetivo, ya que convierte un compromiso silencioso de la cadena de suministro en un bloqueo visible y forzado en lugar de dejar que se ejecute código manipulado. Como un recurso bloqueado puede romper una página, esta herramienta también puede generar un respaldo con onerror que sustituye el archivo por una copia local, de modo que la página se degrada con elegancia. Genera un hash arriba y añádelo a tu etiqueta para activar esta protección.

Un hash SRI verifica una instantánea exacta de un archivo, así que cualquier cambio legítimo lo rompe a propósito. Si una librería lanza una nueva versión, el CDN sirve una compilación con parches o cambias una URL fijada a otra, los bytes difieren y el hash anterior ya no coincidirá, lo que hace que el navegador bloquee el recurso hasta que lo regeneres. La solución es calcular un hash nuevo para el archivo actualizado y sustituir el valor en tu atributo integrity. Para evitar roturas por sorpresa, fija una URL versionada e inmutable en lugar de una ruta «latest» cambiante, de modo que el archivo solo cambie cuando tú apuntes deliberadamente a una nueva versión. Cuando eso ocurra, pega el archivo actualizado o su URL en esta herramienta, genera el nuevo hash y copia la etiqueta de reemplazo directamente en tu HTML.

Pegar contenido o subir un archivo se procesa por completo en tu navegador, así que nada sale de tu equipo. El modo por lotes es distinto: para calcular el hash de un recurso remoto, primero tiene que descargar ese archivo, y esa descarga es una solicitud real de origen cruzado sujeta a la política CORS del servidor de origen. Si el CDN o el servidor no devuelve cabeceras CORS permisivas, el navegador bloquea la respuesta, tu código no puede leerla y la descarga falla aunque el archivo exista y la URL sea correcta. Algunos servidores también limitan la frecuencia o rechazan solicitudes automatizadas. Esto es una limitación del servidor remoto, no del propio hash, ya que el mismo archivo pegado directamente se procesa sin problema. Para obtener resultados garantizados, descarga el archivo y usa la pestaña de pegar o subir en su lugar. Prueba aquí las plantillas por lotes para librerías populares, y recurre al modo de pegado cuando una URL esté bloqueada.