Sobre o gerador de hashes SRI
Um gerador de hashes SRI ajuda a criar valores de Subresource Integrity para scripts e folhas de estilo externos, permitindo que o navegador verifique se o asset baixado foi alterado inesperadamente. Ele é útil ao utilizar arquivos hospedados em CDNs e precisar de uma string de integridade reproduzível para incluir no HTML em conjunto com as definições de crossorigin e CSP.
Como usar o gerador de hashes SRI
- 1Cole o conteúdo exato do script ou da folha de estilo que deseja proteger ou forneça a entrada no formato esperado pela página para gerar o valor de integridade.
- 2Escolha um dos algoritmos de hash compatíveis para que o valor de integridade resultante corresponda à política que você pretende publicar.
- 3Copie a string de integridade gerada para a tag script ou link e teste novamente a página com os bytes finais do asset.
Casos de uso comuns do gerador de hashes SRI
Proteção de assets de CDN
Prepare atributos de integridade para arquivos JavaScript ou CSS de terceiros antes de referenciá-los nos templates HTML de produção.
Revisão de releases
Gere novamente e compare strings de integridade sempre que uma dependência ou um asset hospedado mudar entre deployments.
Documentação de segurança
Registre os valores de integridade e as versões correspondentes dos assets em runbooks ou notas de transição para que a equipe possa reproduzir as mesmas verificações.
Perguntas frequentes
Devo gerar o hash da URL ou do conteúdo do asset?
Gere o hash dos bytes finais que o navegador baixará, não da string da URL. Até mesmo a alteração de um único caractere produz outro valor de integridade; portanto, gere o hash novamente sempre que os bytes do arquivo mudarem.
Quando preciso gerar um novo valor SRI?
Crie uma nova string de integridade sempre que o script ou a folha de estilo referenciada mudar. Atualizações de versão, novos builds, alterações de minificação ou trocas de CDN podem modificar os bytes e exigir um novo hash.
Quais entradas e algoritmos são compatíveis, e o conteúdo é enviado a um servidor?
A ferramenta recebe o conteúdo exato de scripts ou folhas de estilo e gera hashes sha256 ou sha384. O processamento ocorre localmente no navegador, sem enviar o conteúdo a um servidor.