Cómo se usa
- Pegue el texto del script o de la hoja de estilos en Texto del archivo, o elija el archivo en O un archivo.
- Elija el Algoritmo. Use Los tres para escribir un valor por cada algoritmo.
- Escriba la Dirección del archivo exactamente como la cargará la página. El elemento que hay que pegar aparece debajo.
- Copie el Valor de integridad o el Elemento que hay que pegar en su página. Para comprobar un valor que ya tenga, péguelo en Valor de integridad que comprobar.
Cómo se obtiene el valor
El valor de integridad es el nombre de un algoritmo de hash, un guion y el hash del archivo en base64. El navegador calcula el hash de los bytes exactos del archivo, así que el valor cambia si cambia un solo byte. Todos los navegadores conformes admiten sha256, sha384 y sha512 (sección 3.2 de SRI). Base64 usa el alfabeto de la RFC 4648, con el signo = al final como relleno (sección 4).
Se admite un valor con varios elementos separados por espacios (sección 3.2.1). El navegador usa el algoritmo más fuerte entre los que conoce, así que sha512 decide sobre sha256.
integrity = algoritmo + "-" + base64(digest(bytes))- sha256: 44 caracteres de base64 después del guion.
- sha384: 64 caracteres después del guion.
- sha512: 88 caracteres después del guion.
Qué comprueba la comprobación y qué no cubre
La comprobación pasa cuando los bytes del archivo dan uno de los valores del algoritmo más fuerte del atributo (sección 3.3 de SRI). Un elemento con un algoritmo que el navegador no conoce se salta. Cuando no queda ningún elemento, la comprobación pasa sin comparar nada, así que esta herramienta informa de ese caso como no comprobado.
El valor no dice nada sobre el origen del archivo. Demuestra que el archivo tiene los bytes que se convirtieron en hash. Vuelva a generarlo cada vez que cambie el archivo, por ejemplo tras una actualización de la biblioteca, y guarde el valor en el mismo lugar que el elemento.
El texto abc
El texto abc son los tres bytes 61 62 63 en UTF-8. Elija sha256 y escriba abc en el cuadro de texto. El valor de integridad del texto es el de la tabla, y el elemento que hay que pegar lo incluye con crossorigin en anonymous.
| Algoritmo | Valor de integridad para abc |
|---|---|
| sha256 | sha256-ungWv48Bz+pBQUDeXa4iI7ADYaOWF3qctBD/YfIAFa0= |
| sha384 | sha384-ywB1P0WjXou1oD1pmsZQBycsMqsO3tFjGotgWkP/W+2AhgcroefMI1i67KE0yCWn |
Preguntas frecuentes
¿Tengo que cambiar el valor cuando cambia el archivo?
Sí. El valor corresponde a una secuencia exacta de bytes, así que una actualización de la biblioteca, incluso un solo espacio cambiado, da otro valor. La comprobación falla entonces hasta que el atributo tenga el valor nuevo.
¿Qué algoritmo debo elegir?
Todos los navegadores admiten los tres (sección 3.2 de SRI). sha384 es un hash más fuerte que sha256 y un valor más corto que sha512. Elija Los tres para escribir un valor por cada uno, y el navegador comprobará el más fuerte.
¿Por qué el valor tiene un nombre de algoritmo y un guion?
El nombre indica al navegador qué hash calcular. El guion termina el nombre, porque los nombres no tienen guiones, mientras que el valor base64 puede contener guiones en su alfabeto apto para URL, como permite la sección 3.5 de SRI.
¿Envía la herramienta mi archivo a un servidor?
No. Su navegador lee el archivo y lo convierte en hash con la función de digest del navegador (crypto.subtle). La página no hace ninguna petición de red ni guarda lo que escribe o elige.
¿Por qué el elemento que hay que pegar contiene crossorigin?
SRI exige CORS para un recurso de otro origen (sección 5.3), y crossorigin con el valor anonymous pide al navegador usar CORS. El elemento lo incluye tanto para scripts como para hojas de estilo.
Fuentes
- W3C, Subresource Integrity (borrador de trabajo, 20 de marzo de 2026): secciones 3.2, 3.3, 3.5 y 5.3 (en inglés)
- RFC 4648, codificaciones de datos Base16, Base32 y Base64, sección 4 (en inglés)
- MDN, SubtleCrypto.digest() (en inglés)
Cifras y texto revisados por última vez el martes, 10 de noviembre de 2026.