O SHA-1 hoje
O SHA-1 gera um resumo de 160 bits, escrito como 40 caracteres hexadecimais. Durante duas décadas ele protegeu certificados TLS, assinaturas de software e o Git, que ainda identifica commits por um hash SHA-1. Hoje ele está descontinuado para segurança: em 2017 o projeto SHAttered publicou dois PDFs diferentes com o mesmo SHA-1, e as autoridades certificadoras pararam de emitir certificados SHA-1 anos antes.
Ele continua muito usado onde segurança não está em jogo: comparar arquivos, eliminar duplicatas, APIs antigas que esperam uma assinatura SHA-1 e checksums publicados ao lado de downloads antigos. Para qualquer coisa nova, escolha SHA-256.
Exemplo resolvido
O SHA-1 de abc é a9993e364706816aba3e25717850c26c9cd0d89d, o vetor de teste oficial da FIPS 180-4. A string vazia vira da39a3ee5e6b4b0d3255bfef95601890afd80709, um valor que vale reconhecer: vê-lo costuma significar que algo calculou o hash de nada.
Comparando com a linha de comando
sha1sum e shasum calculam o hash dos bytes exatos do arquivo, inclusive a quebra de linha final. Compare com printf 'abc' | sha1sum, não com echo abc.
Como funciona
A página codifica o texto em UTF-8 e passa os bytes para a API Web Crypto do navegador, que calcula o SHA-1 nativamente como especifica a FIPS 180-4: a mensagem recebe padding até um múltiplo de 512 bits e é processada em 80 rodadas por bloco sobre cinco palavras de estado de 32 bits. O resultado de 160 bits aparece como 40 dígitos hexadecimais minúsculos. O mesmo widget calcula SHA-256, SHA-384 e SHA-512. Nada do que você digita sai do navegador.
Perguntas frequentes
O SHA-1 ainda é seguro?
Não para assinaturas ou qualquer coisa que um atacante possa manipular. Existem colisões práticas desde 2017. Use SHA-256 ou melhor.
O ID de commit do Git é o SHA-1 do arquivo?
Não diretamente. O Git calcula o hash de um cabeçalho (blob, tamanho e um byte nulo) mais o conteúdo, então o ID é diferente de um SHA-1 simples.
Qual o tamanho de um hash SHA-1?
160 bits: 40 caracteres hexadecimais ou 20 bytes.
Meu texto é enviado?
Não. O hash é calculado pelo navegador.
Fontes
Revisado em 17 de out. de 2026 · vetores de teste fixtures/dev/sha1-hash/