Hash SHA-256: qué es y para qué sirve en un documento firmado
La respuesta corta
Un hash SHA-256 es el resultado de pasar un archivo por una función matemática que siempre devuelve la misma cadena de 64 caracteres para el mismo contenido, y una completamente distinta en cuanto ese contenido cambia, aunque el cambio sea una coma. Sirve para comprobar que un documento firmado es idéntico al que se firmó. No cifra el archivo, no lo protege y no dice quién firmó: sólo responde si es el mismo o no.
Qué es
Una huella. SHA-256 es una función que toma un archivo de cualquier tamaño y devuelve siempre una cadena de 64 caracteres hexadecimales. Dos propiedades la hacen útil: el mismo archivo produce siempre el mismo resultado, y cualquier modificación por mínima que sea produce uno completamente distinto. El camino no tiene vuelta: del hash no se reconstruye el documento.
Para qué sirve
Para probar integridad documental, que es una de las cosas que la ley mexicana pregunta de un documento electrónico. El artículo 49 del Código de Comercio exige, para conservar mensajes de datos, que la información se haya mantenido íntegra e inalterada desde que se generó en su forma definitiva. El hash es la manera práctica de demostrarlo: se calcula al firmar, se guarda en el acuse y se vuelve a calcular años después sobre el archivo que tengas enfrente. Si las dos cadenas coinciden, es el mismo documento.
Un ejemplo
Firmas hoy un contrato de renta y el acuse registra su hash. Dos años después el inquilino presenta un PDF donde la renta dice otra cifra. Se recalcula el hash de ese archivo y no coincide con el del acuse: ese documento no es el que se firmó. La comprobación no depende de creerle a nadie —cualquiera puede hacerla en la página de verificación, y el procedimiento completo, con los comandos de cada sistema, está en cómo verificar que un documento firmado no fue alterado— y por eso es el dato que sostiene el resto del expediente.
Con qué se confunde
- Con cifrado. Cifrar oculta el contenido y se puede revertir con la llave. El hash no oculta ni se revierte: es una huella, no una caja fuerte.
- Con la firma electrónica. El hash dice que el archivo no cambió; no dice quién lo aceptó. La identidad la aportan la firma electrónica y el resto del acuse.
- Con la constancia NOM-151. La constancia de conservación la emite un tercero acreditado y ata el documento a una fecha frente a terceros. El hash por sí solo compara dos archivos; no certifica cuándo existió el primero, y para eso está el sello digital de tiempo.
- Con un número de folio. El folio lo asigna un sistema y se puede repetir o inventar. El hash se calcula del contenido: no se puede elegir.
En un acuse bien hecho el hash nunca va solo: va con el nombre del algoritmo con el que se calculó. Los campos que debe traer están en qué es un acuse de auditoría, y el documento del que se saca la huella es un mensaje de datos.
Cómo se saca un hash, y qué cuesta
¿Hace falta comprar algo para calcularlo?
No. El comando shasum -a 256 archivo.pdf en Mac o Linux y Get-FileHash en Windows lo calculan sin instalar nada. Lo que sí hace falta comprar es el otro extremo: alguien que haya guardado el hash original al momento de firmar, para tener contra qué comparar. Eso lo dan las plataformas de firma; las que publican que lo hacen son, entre otras, nosotros, Mifiel y Firmame.
¿Cuánto cuesta tener el hash guardado desde el primer día?
Al 14 de septiembre de 2026: Mifiel desde $89 por documento en el paquete de diez, con constancia NOM-151; Firmame desde $155 MXN al mes por cinco documentos; Verificamex $45 por firma suelta. Nosotros: diez documentos gratis y $399 MXN al mes por 500, con usuarios ilimitados, y el hash se comprueba en la página pública de verificación sin cuenta.
De dónde salen las citas
- Código de Comercio, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿Qué es el hash SHA-256 de un documento?
Es una cadena de 64 caracteres que resulta de procesar el contenido completo del archivo con la función SHA-256. Funciona como huella: el mismo archivo da siempre el mismo hash, y basta cambiar un carácter para que el resultado sea otro por completo.
¿El hash prueba quién firmó un contrato?
No. El hash sólo prueba que el archivo no cambió desde que se calculó. La identidad del firmante se sostiene con el resto del acuse: a qué correo o teléfono se envió la liga, cuándo se abrió, desde qué dirección IP y dispositivo se firmó y qué verificación de identidad se aplicó.
¿Se puede recuperar el documento a partir de su hash?
No. La función va en un solo sentido: del archivo se obtiene el hash, pero del hash no se reconstruye ni se recupera el archivo. Por eso publicar el hash de un contrato no revela nada de su contenido, y por eso tampoco sirve como respaldo: si pierdes el documento, el hash no te lo devuelve, sólo te permite reconocerlo si vuelve a aparecer.
¿Dos archivos distintos pueden dar el mismo hash?
En teoría existen dos contenidos distintos con el mismo resultado, porque las salidas posibles son finitas y los archivos posibles no. En SHA-256 nadie ha encontrado un par, y el número de intentos que haría falta es tan grande que no es una preocupación práctica. Con SHA-1 y con MD5 sí se lograron colisiones, y por eso ya no se usan para probar integridad.