Hashear una chapuza no la convierte en verdad.

Dentro del expediente

Un hash es una huella, y no una firma, un sello o un testigo. Una huella contesta una sola pregunta, que es si el archivo que tengo delante es el mismo que tenía antes. Lo demás se lo estás poniendo tú de tu bolsillo.

Lo digo así de feo por una escena que es fácil imaginar. Alguien enseña una cadena de hashes preciosa, ordenada, con su tipografía de terminal, y la presenta como prueba de que el trabajo se hizo bien. No prueba eso. Puedes conservar un error con una precisión admirable.

Qué es un hash, dicho sin misticismo

Un hash es el resultado de pasar un archivo por una función que siempre devuelve una cadena de la misma longitud, mida el archivo dos líneas o dos mil páginas. Esa cadena es la huella. Pasa el mismo archivo otra vez por la misma función y sale la misma huella, siempre.

Tres propiedades explican para qué sirve. La primera es la longitud fija, así que la huella no delata el tamaño del archivo. La segunda es el efecto avalancha, es decir, que cambias una coma, cambias un espacio al final de un párrafo, y sale otra huella sin parecido reconocible con la anterior; no cambia un trocito proporcional al cambio. La tercera es el sentido único, de modo que de la huella no se reconstruye el documento en la práctica, salvo que sea corto o previsible y alguien pruebe candidatos hasta dar con él.

Con eso ya se ve el límite. Una función hash mira bytes. No sabe quién los escribió, no sabe si alguien los leyó y no tiene ninguna opinión sobre si lo que dicen es cierto.

Fig. 1Prensa de huellasPulsa para cambiar el textohuella d5f00a2d · coincide

SHA-256 es un estándar, no un conjuro

SHA-256 es uno de los algoritmos recogidos en el estándar de NIST para funciones hash. Ese documento habla de generar resúmenes de mensajes para detectar cambios. Ese es el trabajo declarado, y conviene leerlo tal cual antes de pedirle al algoritmo cosas que nadie prometió. Fuente primaria ↗

Cuando alguien dice «está hasheado con SHA-256» y lo dice con cara de haber cerrado el asunto, a mí me queda una pregunta encima de la mesa. ¿Contra qué lo comparas? Un hash solo vale si existe una referencia anterior, guardada en un sitio donde no la pueda tocar quien tenga interés en que coincida. Sin esa referencia, la huella es un adorno hexadecimal muy bonito.

El hash de un documento no dice quién lo escribió

Aquí está el salto que más conviene vigilar. De «la huella coincide» a «lo hizo Fulano y estaba revisado». No hay puente entre esas dos frases.

Cualquiera que tenga el mismo archivo obtiene exactamente la misma huella. No hace falta permiso, ni contraseña, ni identidad. Calcular un hash es una operación pública sobre un contenido. Por eso coincidir no acredita autoría. Tampoco autorización ni lectura.

La confusión es entendible, porque el hash aparece en el mismo sitio donde aparecen las firmas, los sellos de tiempo y los registros de acceso, y todo se acaba llamando «trazabilidad». Pero cada pieza responde una pregunta distinta y ninguna cubre el hueco de la de al lado.

Cuatro preguntas, cuatro tipos de evidencia

¿Es el mismo contenido? Ahí trabaja la integridad de un documento, con comparación de versiones y huellas. ¿Quién intervino? Identificación y autenticación, con sus límites. ¿Cuándo existía? Evidencia temporal adecuada a la finalidad. ¿Qué se revisó? Acciones, razones y fuentes vinculadas a una versión concreta.

Reunir esas piezas mejora una reconstrucción. No convierte el conjunto en prueba concluyente ni sustituye una valoración pericial o jurídica del caso. La procedencia y la custodia, junto con la posibilidad de alteración siguen importando, y un juzgado no se conforma con que la cadena sea larga.

Aprobaron la versión A. Salió la B

Caso sintético, de los que uso para pensar. Una profesional revisa el archivo A, corrige una cifra, aprueba. Después el sistema genera el archivo B, cambia una frase material y lo envía al cliente. Todos los hashes están calculados. Todos coinciden con su archivo. Y el registro dice que hubo una aprobación, pero no de la versión que salió por la puerta.

La huella hizo su trabajo. El proceso no. Mi control es fácil de enunciar y exigente de implementar. Consiste en vincular la autorización con la versión y la salida en la misma cadena, y que un cambio material devuelva el trabajo al punto de revisión. El historial tiene que explicar el cambio, no limitarse a demostrar que existen dos archivos distintos.

Qué pediría que se hiciera con el hash de un expediente

Primero, sellar la referencia en el momento de la aprobación, no la víspera de la reunión incómoda. Un hash calculado tarde documenta el estado de un archivo tarde, y eso es exactamente lo que discutirá la otra parte.

Segundo, guardar la huella separada del archivo. Si el mismo cajón contiene el documento y su referencia, quien pueda tocar uno probablemente pueda tocar la otra.

Tercero, escribir qué se hashea. El documento entero, los anexos, los metadatos y la exportación a PDF no son el mismo objeto y no dan el mismo resultado. Reexportar un informe sin cambiar una letra visible puede dar una huella diferente, y esa sorpresa se explica mucho mejor antes que después.

Cuarto, no confundir huella con confidencialidad. La Ley 1/2019 condiciona la protección del secreto empresarial a que existan medidas razonables para conservarlo. Un hash no oculta nada por sí solo, porque es una comprobación y no una caja fuerte. Fuente primaria ↗

Compruébalo tú y desconfía un poco más

En el laboratorio de este cuaderno puedes escribir dos textos de ejemplo y comparar sus hashes reales, calculados en tu navegador. Cambia una tilde en uno de ellos. Mira cómo sale otra huella distinta. Luego devuélvela a su sitio y comprueba que vuelve la de antes.

Esa demostración no firma ni fecha nada por sí sola. Precisamente por eso la tengo puesta, porque enseña una propiedad concreta sin inventarse las demás. Es el mismo criterio que le pido a cualquier herramienta que llegue al despacho prometiendo trazabilidad.

Y si alguien te enseña una huella como respuesta a un problema de criterio, tienes derecho a un rato de silencio incómodo antes de contestar. La pregunta correcta no era si el archivo cambió.

La huella dice algo sobre el archivo. La revisión tiene que decir algo sobre el trabajo.

Lo que me preguntan cuando cierro el portátil.

¿Qué es un hash?

Un hash es la huella digital de un archivo, el resultado de pasarlo por una función que siempre devuelve una cadena de la misma longitud, mida el archivo dos líneas o dos mil páginas. Si cambia un solo carácter del documento, en la práctica sale una huella distinta, sin relación predecible con la anterior. Y de la huella no se reconstruye el documento en la práctica, salvo que sea corto o previsible y alguien pruebe candidatos hasta dar con él.

¿Un hash demuestra quién escribió un documento?

No. Una función hash lee bytes, no personas. Cualquiera con el mismo archivo obtiene exactamente la misma huella, así que coincidir no prueba autoría ni acredita que alguien lo haya leído o revisado. La identidad se responde con mecanismos de identificación y autenticación, y la revisión con acciones, razones y fuentes vinculadas a una versión concreta.

¿Para qué sirve SHA-256 en un expediente?

Para una cosa concreta, comprobar que el documento que abres hoy es el mismo que guardaste antes. Necesita una referencia anterior conservada donde no pueda tocarla quien tenga interés en que coincida. Bien usado, SHA-256 detecta un cambio no declarado. Mal vendido, se convierte en un adorno hexadecimal que aparenta control sin responder ninguna pregunta del caso.

El expediente detrás del artículo.

Funciones hash: Secure Hash Standard ↗NIST · FIPS 180-4 · 2015
Estándar técnicoLey 1/2019 de Secretos Empresariales ↗BOE · artículos 1 y 2; creación independiente e ingeniería inversa en el artículo 2.1 · 2019
Normativa española

Fuentes consultadas el 21 de octubre de 2026. Las recomendaciones y ejemplos son elaboración editorial y no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.