Identificador de hashes
Pega un hash y descubre de qué tipo es: MD5, SHA-1, SHA-256/512, NTLM, bcrypt, sha512crypt, Argon2, LDAP {SSHA}, MySQL y más, por longitud, juego de caracteres y marcadores.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Pega un hash y descubre de qué tipo es. Esta herramienta lee la longitud del valor, su juego de caracteres y sus marcadores estructurales (como el $2b$ de bcrypt o el {SSHA} de un hash LDAP) y devuelve una lista ordenada de los algoritmos más probables, con el motivo por el que coincide cada candidato y una nota honesta sobre la ambigüedad. Reconoce digests en bruto por su longitud (MD5, SHA-1, SHA-224/256/384/512), NTLM de Windows y hashes de contraseña con marcadores estructurales: bcrypt ($2b$), md5crypt/sha256crypt/sha512crypt ($1$/$5$/$6$), Argon2, PBKDF2, scrypt, yescrypt, LDAP {SHA}/{SSHA}, MySQL, Django, phpass y los tipos de Cisco. También lee estructuras de volcados de credenciales (líneas pwdump «usuario:RID:LM:NT:::» y pares LM:NTLM) y digests en bruto codificados en Base64. La identificación es por FORMATO, así que siempre es una estimación, nunca una prueba: un valor de 32 caracteres hexadecimales puede ser MD5, NTLM o MD4, y lo que de verdad lo delata es el sistema que produjo el hash. Es una ayuda defensiva y forense para la respuesta a incidentes y la auditoría del almacenamiento de contraseñas. Todo se ejecuta en el lado del cliente: el hash nunca se sube, ni se intenta descifrar, ni se consulta. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Pega un hash, una línea de volcado pwdump o un par LM:NTLM.
- Lee la lista ordenada de candidatos y por qué coincide cada uno.
- Usa el contexto (el sistema que produjo el hash) para decidir entre candidatos con la misma forma, como MD5 y NTLM.
- Si descubres contraseñas guardadas como digests rápidos sin sal, prioriza migrarlas a Argon2id o bcrypt.
Preguntas frecuentes
¿Cómo funciona de verdad la identificación de hashes?
Un hash es solo una cadena, así que identificarlo es reconocer patrones en su forma, no descifrarlo. Tres señales llevan casi toda la información. Primero, la longitud y el juego de caracteres: un valor de exactamente 32 caracteres hexadecimales es un digest de 128 bits (MD5, NTLM, MD4…), 40 hexadecimales son 160 bits (SHA-1, RIPEMD-160), 64 hexadecimales son 256 bits (SHA-256), y así sucesivamente. Segundo, los marcadores estructurales: los hashes de contraseña escritos en Modular Crypt Format se anuncian con un prefijo ($2b$ es bcrypt, $6$ es sha512crypt, $argon2id$ es Argon2) y los formatos de directorio envuelven el digest en una etiqueta como {SSHA}. Tercero, los delimitadores y la disposición: una línea separada por dos puntos como usuario:RID:LMhash:NThash::: es un volcado de credenciales pwdump, y algoritmo$iteraciones$sal$hash es un hash de Django. Esta herramienta aplica las tres y devuelve los candidatos que encajan, ordenados por probabilidad.
¿Por qué muestra varios tipos posibles en lugar de una sola respuesta?
Porque el formato por sí solo no puede distinguir de verdad muchos algoritmos. El ejemplo más claro: MD5 y NTLM son ambos de 128 bits, así que ambos se representan con exactamente 32 caracteres hexadecimales, y no hay ningún bit en la propia cadena que los distinga. Lo mismo ocurre con SHA-224 frente a SHA3-224, o con SHA-512 frente a SHA3-512 y BLAKE2b, que comparten longitud. Cualquier herramienta que te dé una única respuesta segura para un digest hexadecimal sin más está adivinando y ocultando que adivina. Nosotros mostramos el conjunto ordenado y te decimos que lo que de verdad desempata es el contexto: un hash NTLM sale de un volcado del SAM o del NTDS.dit de Windows, un checksum MD5 está junto a una descarga, etc. Los hashes con marcadores estructurales (bcrypt, sha512crypt, Argon2, LDAP) son la excepción: su prefijo es un marcador definitivo, así que se notifican con alta confianza.
¿Puede esta herramienta descifrar un hash o revelar la contraseña original?
No, y es deliberado. Solo clasifica el formato: no hace nada para revertir, atacar por fuerza bruta o consultar el valor, ni lo envía a ninguna parte. Un hash criptográfico es unidireccional por diseño; recuperar la entrada significa adivinar candidatos y calcular su hash, lo que es cracking, no identificación, y no es para lo que sirve esta herramienta. Todo se ejecuta en el lado del cliente en tu navegador, sin llamadas de red, así que el hash que pegas nunca se transmite. Úsala para entender lo que estás viendo (por ejemplo, para confirmar que un sistema heredado guarda las contraseñas como MD5 sin sal y priorizar su migración), no para atacar datos que no son tuyos.
¿Qué diferencia hay entre un digest rápido y un hash de contraseña?
Un digest simple como MD5, SHA-1 o SHA-256 está diseñado para ser rápido: es justo lo que quieres para la integridad de archivos y las firmas, y justo lo que NO quieres para guardar contraseñas, porque rápido significa que un atacante puede probar miles de millones de intentos por segundo contra un hash robado. Los hashes de contraseña como bcrypt, scrypt, Argon2 y la familia sha512crypt ($6$) son deliberadamente lentos y llevan sal, con un factor de trabajo ajustable incluido en la cadena (el coste tras $2b$, el rounds= de un hash crypt, los m=/t=/p= de Argon2). Si esta herramienta te dice que las credenciales guardadas son SHA-256 o MD5 sin más en lugar de uno de esos esquemas adaptativos, es un hallazgo sobre el que conviene actuar. Para sistemas nuevos, Argon2id o bcrypt son las recomendaciones estándar.
Una cadena hexadecimal de 32 caracteres: ¿es MD5 o NTLM?
Solo con la cadena no puedes estar seguro: ambos son de 128 bits y ambos tienen 32 caracteres hexadecimales. Lo que decide es la procedencia. Si el valor sale de un volcado de credenciales de Windows (pwdump, secretsdump, el NTDS.dit de un controlador de dominio), sobre todo emparejado como LM:NT o en una línea usuario:RID:LMhash:NThash:::, es un hash NTLM. Si está junto a una descarga de archivo, en una columna de base de datos de «checksums md5» o en una tabla de usuarios de una aplicación web heredada, casi con seguridad es MD5. Una pista estructural: en una línea pwdump, el hash LM vacío es la constante aad3b435b51404eeaad3b435b51404ee, una firma fiable de un volcado NTLM. Esta herramienta muestra ambos candidatos y las pistas de contexto en lugar de fingir que sabe cuál es.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.