Saltar al contenido
Totalmente local

Generador de integridad de subrecursos

Calcula el hash SRI del contenido pegado y genera la etiqueta script o link correspondiente.

Contenido del archivo
Salida

Generador de integridad de subrecursos

Pega el contenido exacto de un script o hoja de estilos y esta herramienta calcula su hash de Subresource Integrity (SRI), generando una etiqueta <script> o <link> lista para usar. SRI permite que el navegador verifique que un archivo cargado desde una CDN u otro origen no ha sido alterado; el navegador rechaza ejecutarlo si los bytes obtenidos no coinciden con el hash proporcionado.

Elige SHA-256, SHA-384 o SHA-512, o marca más de una opción para generar un valor de integridad combinado que liste varios algoritmos simultáneamente; el navegador elige el más fuerte que soporta. Selecciona el tipo de etiqueta (script o link), completa la URL de origen y establece el valor crossorigin que espera tu CDN (anonymous es correcto para casi cualquier CDN pública). Para etiquetas script también puedes añadir defer o async. Cambia el resultado a "solo valor de integridad" cuando solo necesites el valor del atributo para pegar en markup que ya tienes.

El hash se calcula sobre los bytes exactos que pegas, incluyendo los finales de línea con los que se guardó el archivo; un navegador verifica los bytes reales de un recurso, así que normalizarlos aquí produciría un hash que ya no coincide con el archivo actual. Se soportan archivos muy grandes hasta el límite usual de la herramienta.

Todo sucede localmente en tu navegador: el contenido que pegas nunca se sube a ningún lado, lo cual es importante ya que suele ser la fuente exacta de un script que estás a punto de publicar. Copia el resultado, descárgalo como archivo .txt, o borra los campos y comienza de nuevo.

Preguntas frecuentes

¿Qué es la Integridad de Subrecursos (SRI)?
SRI es una característica de seguridad del navegador. Das a una etiqueta <script> o <link> un atributo integrity que contiene el hash del archivo esperado; si el archivo que el navegador obtiene realmente no coincide, rechaza ejecutarlo.
¿Qué algoritmo debo elegir?
SHA-384 es el predeterminado más común y lo que generan por defecto la mayoría de CDNs. SHA-256 es más corto y sigue siendo seguro; SHA-512 es el más fuerte pero genera el valor más largo. Seleccionar más de uno permite que el navegador elija el más fuerte que soporta.
¿Qué hace crossorigin aquí?
Es obligatorio junto con integrity para un recurso de origen cruzado, ya que el navegador debe hacer una petición CORS para verificar la respuesta antes de ejecutarla. "anonymous" es correcto para archivos de CDN públicos que no necesitan cookies.
¿Por qué no cambia el hash si solo corrijo un error tipográfico en la URL?
El valor de integridad solo depende del contenido del archivo que pegaste, nunca de la URL; la URL es solo el lugar donde la etiqueta le dice al navegador que obtenga el archivo.
¿Se sube a algún lado el contenido del archivo que pego?
No. El hash se calcula completamente en tu navegador usando la Web Crypto API; el contenido nunca sale de tu dispositivo.