JPKCom DB

Hash Generator — Anwendungsbeispiele

Praxisnahe Durchläufe mit dem Hash Generator: Text live hashen, Downloads prüfen, Hashes zuordnen, HMAC, SRI-Attribut und bcrypt-Hash für PHP.

Zurück zur Übersicht: Hash Generator · Tool live öffnen: www.jpkc.com/tools/hash/

Das Manual erklärt jeden Algorithmus und jede Option im Detail. Diese Seite ergänzt das um konkrete Arbeitsabläufe. Die Hash-Werte unten sind echte Werte für die gezeigten Eingaben — du kannst sie zur Probe nachstellen. Die Oberfläche ist auf Englisch; Feld- und Button-Namen stehen deshalb im Original.

Beispiel 1: Einen Text über mehrere Algorithmen hashen

Du willst sehen, wie sich derselbe Text in verschiedenen Verfahren darstellt.

  1. Öffne den Hash Generator, Reiter Text, und tippe in das Feld Input den Text hello. Die Info-Zeile darunter meldet „5 bytes".
  2. Die Tabelle rechts füllt sich sofort mit allen 20 Verfahren. In der Gruppe Legacy steht unter MD5:
    5d41402abc4b2a76b9719d911017c592
  3. Direkt darunter SHA-1 — der Wert ist länger:
    aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d
  4. In der Gruppe SHA-2 liefert SHA-256 64 Hex-Zeichen:
    2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824
  5. Mit dem Copy-Button am Ende einer Zeile legst du genau diesen Wert in die Zwischenablage.

Beobachtung: Gleiche Eingabe, völlig unterschiedliche Hashes — und je „größer" der Algorithmus, desto länger der Wert. Ändere ein einziges Zeichen (hello → Hello): Alle Zeilen ändern sich sofort komplett, MD5 lautet jetzt 8b1a9953c4611296a827abf8c47804d7 (der sogenannte Lawineneffekt).

Brauchst du die Werte in einem anderen Format, stellst du Output auf Base64. SHA-256 von hello lautet dann LPJNul+wow4m6DsqxbninhsWHlwfp0JecwQzYpOLmCQ=.

Beispiel 2: Die Integrität eines Downloads prüfen

Der häufigste Praxisfall — ein heruntergeladenes Image oder Archiv gegen den vom Anbieter veröffentlichten Wert abgleichen.

  1. Der Anbieter nennt für seine Datei z. B. eine SHA-256-Prüfsumme (oft auf der Download-Seite oder in einer .sha256-Datei).
  2. Wechsle in den Reiter File. Prüfe unter Algorithms for files, dass SHA-256 ausgewählt ist (Standard).
  3. Kopiere die veröffentlichte Prüfsumme in das Feld „Paste the published checksum to verify the download…". Du kannst auch die ganze Zeile aus der .sha256-Datei einfügen (<hash> dateiname.iso) — das Tool nimmt nur den Hash.
  4. Zieh deine heruntergeladene Datei auf die Ablagefläche (oder klick darauf und wähl sie aus). Das Hashen startet sofort; der Balken zeigt Fortschritt, Tempo und Restzeit.
  5. Wird die Zeile SHA-256 grün und steht darüber „Match: SHA-256", ist die Datei unverändert und vollständig. Meldet das Tool „No algorithm produces this hash", ist der Download beschädigt oder manipuliert — nicht verwenden, neu laden.

Die Reihenfolge von Schritt 3 und 4 ist egal: Fügst du die Prüfsumme erst nach dem Hashen ein, prüft das Tool sofort gegen die fertige Tabelle. Nennt der Anbieter nur MD5, SHA-1 oder SHA-512, funktioniert das genauso, solange das Verfahren ausgewählt ist (zur Einordnung von MD5 siehe die Tipps).

Beispiel 3: Zwei Hashes sicher vergleichen

Manchmal hast du einen Hash und willst wissen, ob er zu einer bestimmten Eingabe gehört — oder mit welchem Verfahren er gebildet wurde.

  1. Tippe im Reiter Text den Ausgangstext in das Feld Input, z. B. hello.
  2. Füge den fremden Wert in das Feld „Paste an expected hash to compare…" ein, etwa in Großbuchstaben:
    2CF24DBA5FB0A30E26E83B2AC5B9E29E1B161E5C1FA7425E73043362938B9824
  3. Das Tool meldet „Match: SHA-256" und hebt die Zeile grün hervor. Groß- und Kleinschreibung spielen keine Rolle, und auch die Base64-Form LPJNul+wow4m6DsqxbninhsWHlwfp0JecwQzYpOLmCQ= ergibt denselben Treffer.

Dasselbe klappt für Dateien: Hash zwei Dateien nacheinander im Reiter File und füge beim zweiten Durchlauf den SHA-256 der ersten in das Vergleichsfeld ein. Sind beide bit-genau gleich, wird die Zeile grün — egal wie ähnlich oder verschieden die Dateien aussehen.

Beispiel 4: Einen HMAC mit Schlüssel erzeugen

Für API-Signaturen oder Webhooks brauchst du einen HMAC — einen Hash, der zusätzlich von einem geheimen Schlüssel abhängt.

  1. Trag deinen Nachrichten-Inhalt in das Feld Input ein — für die Probe hello.
  2. Trag deinen geheimen Schlüssel in das Feld HMAC key ein und lass die Kodierung daneben auf Text — für die Probe secret. Hast du noch keinen Schlüssel, klick auf den Würfel-Button: Er erzeugt lokal einen zufälligen 256-Bit-Schlüssel als Hex und stellt die Kodierung auf Hex.
  3. Die Tabelle zeigt jetzt HMACs; die Zeilen tragen das Badge HMAC. Unter SHA-256 steht HMAC-SHA-256, der De-facto-Standard für Signaturen:
    88aab3ede8d3adf94d26ab90d3bafd4a2083070c3bcce9c014ee04a443847c0b
  4. Copy am Zeilenende kopiert den Wert. Erwartet die Gegenstelle Base64, stellst du Output um.

Wichtig: Derselbe Schlüssel + dieselbe Nachricht ergeben immer denselben HMAC. Der Empfänger kann mit demselben Schlüssel nachrechnen und so prüfen, dass die Nachricht echt und unverändert ist. Eine empfangene Signatur prüfst du, indem du sie in das Vergleichsfeld einfügst — passt sie, meldet das Tool „Match: SHA-256 (HMAC)".

Beispiel 5: SHA-3 ausprobieren — der modernere Standard

Du willst den modernen Standard nach FIPS 202 nutzen — und den Unterschied zu Keccak sehen.

  1. Tippe hello in das Feld Input.
  2. In der Gruppe SHA-3 (FIPS 202) steht unter SHA3-256:
    3338be694f50c5f338814986cdf0686453a888b84f424d792af4b9202398f392
  3. Weiter unten in derselben Gruppe steht Keccak-256 — gleiche Länge, aber ein völlig anderer Wert, weil das ursprüngliche Keccak anders auffüllt:
    1c8aff950685c2ed4bc3174f3472287b56d9517b9c948127319a09a7a36deac8

Verlangt eine Spezifikation „SHA-3", nimmst du die SHA3-Zeile; geht es um Ethereum, die Keccak-Zeile (laut Tooltip „original Keccak, as used by Ethereum"). Im Reiter File ist SHA3-256 vorausgewählt; weitere SHA-3- oder Keccak-Varianten schaltest du unter Algorithms for files dazu.

Beispiel 6: Eine große Datei verarbeiten

Du willst die Prüfsumme eines großen Archivs oder ISO-Images bilden.

  1. Wähl im Reiter File unter Algorithms for files nur die Verfahren ab, die du wirklich brauchst — etwa nur SHA-256. Jedes zusätzliche Verfahren kostet bei großen Dateien Zeit.
  2. Zieh die Datei auf die Ablagefläche. Ein festes Größenlimit gibt es nicht: Das Tool liest die Datei in Stücken, statt sie komplett in den Speicher zu laden.
  3. Der Fortschrittsbalken zeigt Prozent, Tempo und geschätzte Restzeit. Die Seite bleibt währenddessen bedienbar, weil im Hintergrund-Thread gerechnet wird. Mit Cancel brichst du ab.
  4. Am Ende nennt die Info-Zeile die Dauer („hashed in X s"). Da alles lokal im Browser rechnet, verlässt die Datei deinen Rechner nicht — der entscheidende Unterschied zu Online-Diensten, die deine Datei erst hochladen.

Beispiel 7: Ein SRI-Attribut für ein Skript erzeugen

Du bindest eine JavaScript-Bibliothek von einem CDN ein und willst, dass der Browser sie nur ausführt, wenn ihr Inhalt exakt stimmt.

  1. Lade die Datei, die du einbinden willst, herunter.
  2. Schalte im Reiter File unter Algorithms for files zusätzlich SHA-384 an und zieh die Datei auf die Ablagefläche.
  3. Unter der Tabelle erscheint die Zeile SRI mit sha384-…. Der Copy-Button daneben kopiert das fertige Attribut-Paar.
  4. Setz es in dein Tag ein:
    <script src="https://cdn.example.com/lib.min.js"
        integrity="sha384-…" crossorigin="anonymous"></script>

Die SRI-Zeile erscheint nur ohne HMAC: Ist im Reiter File der HMAC-Schalter an und im Reiter Text ein Schlüssel eingetragen, fehlt sie.

Beispiel 8: Einen bcrypt-Hash für PHP erzeugen und prüfen

Du brauchst für einen Test-Account einen Passwort-Hash, den password_verify() in PHP akzeptiert.

  1. Wechsle in den Reiter Password hashing (direkt erreichbar über https://www.jpkc.com/tools/hash/#password).
  2. Lass unter Algorithm bcrypt stehen, Cost auf 12 und Prefix auf $2y$ (PHP).
  3. Gib das Passwort in Password ein und klick Hash password. Nach kurzer, absichtlich langer Rechenzeit erscheint ein String der Form $2y$12$… samt Kopier-Button. Die Info-Zeile nennt die Dauer.
  4. Zur Gegenprobe kopierst du den Hash rechts in Stored hash, gibst dasselbe Passwort ein und klickst Verify: „The password matches this hash." Mit einem anderen Passwort lautet die Antwort „The password does NOT match this hash."

Klickst du Hash password ein zweites Mal, entsteht ein anderer String — jeder Lauf nutzt ein neues Zufalls-Salt, und beide Hashes passen trotzdem zum selben Passwort. Für ein neues Projekt kannst du stattdessen Argon2id (recommended) wählen; PHP versteht auch diese Strings. Für eine Django-Datenbank wählst du PBKDF2-HMAC-SHA256 (Django format).

Beispiel 9: Rohdaten als Hex hashen

Du hast keinen Text, sondern Bytes — etwa aus einem Hex-Dump, einem Protokoll-Mitschnitt oder einer Testvektor-Tabelle.

  1. Stell die Auswahl über dem Feld Input von Text (UTF-8) auf Hex bytes.
  2. Füge die Bytes ein. Trenner wie Leerzeichen, : oder 0x-Präfixe stören nicht, etwa:
    68 65 6c 6c 6f
  3. Die Info-Zeile meldet „5 bytes", und SHA-256 lautet 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 — dieselben fünf Bytes wie hello in Beispiel 1.

Ist die Eingabe kein gültiges Hex (ein g oder eine ungerade Zahl an Ziffern), nennt die Info-Zeile den Fehler in Rot. Für Base64-kodierte Daten wählst du Base64 bytes.

Noch tiefer: die Übersicht zum großen Bild, das Manual für jeden Algorithmus und die Tipps & Tricks für die Sicherheits-Einordnung. Ausprobieren kannst du alles direkt im Tool.