مولد هاش: SHA-256 وSHA-384 وSHA-512 وSHA-1 داخل متصفحك

ما هو مولد الهاش؟

مولد الهاش أداة تأخذ أي نص — كلمة واحدة أو نصاً كاملاً — وتمرره على دالة تهشير رياضية فتُخرج سلسلة ثابتة الطول من الأرقام والحروف الست عشرية، تُعرف بالبصمة أو الـ digest. والبصمة هذه لا تشبه المدخل بأي شكل مرئي، ولا يمكن الرجوع منها إلى النص الأصلي؛ فهي توقيع رقمي للمحتوى لا تلخيص له. وحين يبحث أحدهم عن «مولد هاش» أو «حساب sha256»، فغالباً ما يريد بالضبط هذا: نصاً يتحول أمام عينيه إلى سلسلة hex، بلا تثبيت برنامج وبلا رفع أي شيء إلى خادم بعيد.

وتُستعمل هذه البصمات في أماكن تتقاطع يومياً مع عمل أي مطوّر: التحقق من أن ملفاً نُزّل كاملاً وسليماً بمقارنة مجموع التحقق المنشور مع ما ينتجه الملف فعلياً، وتوقيع الالتزامات في Git، والتأكد من أن نسختين من نص واحد متطابقتان بايتاً ببايت. أما تخزين كلمات المرور فحالة مختلفة تماماً، والقسم الرابع يشرح لماذا لا تصلح هذه الخوارزميات لها.

كيف تستعملها

1. اختر الخوارزمية من الأزرار الأربعة فوق حقل النص — SHA-256 مفعّلة افتراضياً، وإلى جانبها SHA-384 وSHA-512، وSHA-1 الموسومة بوسم «مكسورة» لأنها لا تصلح لإثبات سلامة ملف.
2. اكتب النص أو الصقه في حقل الإدخال الكبير، وستتحدث البصمة في حقل الإخراج تحت يديك مباشرة، بلا ضغط زر ولا انتظار.
3. انسخ الهاش أو قارنه بزر النسخ الذي يتحول إلى «تم النسخ!» لثانيتين، أو الصق مجموع تحقق وصلك في حقل «قارن بهاش معروف» لترى فوراً أيتطابق أم لا.

ما الذي تضمنه البصمة فعلاً

بصمة SHA-256 طولها ثابت مهما تغيّر طول المدخل: حرف واحد ونص من مليون حرف يُنتجان كلاهما بالضبط 64 حرفاً ست عشرياً، لأن 64 حرفاً هي الترجمة الست عشرية لبصمة طولها 256 بت لا أقل ولا أكثر (وSHA-384 تعطي 96 حرفاً، وSHA-512 تعطي 128 حرفاً، وSHA-1 تعطي 40 حرفاً فقط). وقبل أن يصل النص إلى دالة التهشير يتحول إلى بايتات عبر ترميز UTF-8، فكلمة «café» مثلاً خمسة بايتات لا أربعة. وللقارئ العربي أثر مباشر هنا: كل حرف عربي بايتان في UTF-8، فبصمة نص عربي تعتمد على ترميز الملف الذي حُفظ به لا على الحروف الظاهرة فحسب — والملف نفسه محفوظاً بترميز آخر يعطي بصمة مختلفة تماماً. وهذا الثبات في الطول هو ما يجعل الهاش بصمة لا ضغطاً للبيانات، وهو نفسه سبب استحالة «فك» الهاش رياضياً: لا يمكن لأربعة وستين حرفاً أن تحمل معلومات كافية لإعادة بناء مليون حرف.

وأثر الانهيار الجليدي هنا رقم مقيس لا ادعاء مبهم: تغيير حرف واحد فقط في المدخل يقلب 50.0% من بتات ناتج SHA-256 الـ256، بمتوسط محسوب على 200 زوج من المدخلات. وعملياً: كلمة «hello» تعطي 2cf24dba5fb0a30e…، وكلمة «hellp» بحرف أخير مختلف فقط تعطي fdd7585e08c4e2af…، ولا شيء مشترك بين الناتجين يمكن تمييزه بالعين رغم أن المدخلين متقاربان جداً. ومع ذلك فالنتيجة حتمية تماماً: السلسلة نفسها مهشَّرة خمسين مرة متتالية تعطي في كل مرة البصمة نفسها بلا استثناء واحد.

وهذه ليست خوارزمية مكتوبة يدوياً في هذه الصفحة، بل تنفيذ SubtleCrypto المدمج في المتصفح ذاته. وللتأكد من صحته قوبلت كل بصمة تنتجها هذه الأداة بوحدة crypto في Node، وهي تنفيذ منفصل تماماً، عبر 48 بصمة تغطي الخوارزميات الأربع بمدخلات فيها إيموجي وعربية ويابانية وسلسلة من عشرة آلاف حرف — وتطابقت كلها. وتطابقت أيضاً متجهات الاختبار المنشورة رسمياً: بصمة SHA-256 لكلمة «abc» هي ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad.

لماذا لا توجد MD5 هنا؟

الهاش السريع أداة خاطئة تماماً لكلمات المرور، وهذا أهم تحذير في هذه الصفحة. فقد صُممت SHA-256 لتكون سريعة، وهذا بالضبط ما يريده مهاجم يجرّب مليارات كلمات المرور المحتملة في الثانية الواحدة على معالج رسومي عادي. تخزين كلمات المرور يحتاج خوارزمية بطيئة عمداً ومزوّدة بملح عشوائي لكل مستخدم: bcrypt أو scrypt أو argon2. لا تخزّن أبداً SHA-256 مجرّدة لكلمة مرور، ولا تثق بنظام يفعل ذلك.

وأهم ما يميز هذه الصفحة أن MD5 غائبة عنها، وهذا ليس سهواً. فمواصفة Web Crypto لم تُدرج MD5 قط ضمن الخوارزميات التي يدعمها المتصفح، واستدعاء crypto.subtle.digest بها يرمي خطأً مباشرة. المتصفح هنا يرفض أن يسلّم المطوّر بدائية مكسورة باسم ودود يوهمه بالأمان، وهذه الأداة ترث ذلك الرفض كما هو بدل أن تكتب MD5 يدوياً لمجرد اصطياد من يبحث عنها.

وتبقى SHA-1 متاحة هنا لأن التحقق من مجموع تحقق قديم منشور بها حاجة حقيقية ما زالت موجودة، لكنها موسومة بـ«مكسورة» لسبب دقيق: نُشرت ضدها تصادمات عملية فعلاً، ففي 2017 أنتج باحثون ملفَّي PDF مختلفين تماماً لهما البصمة نفسها بالضبط — فلا تستعملها أبداً لإثبات أن ملفين متطابقان. وبقية الحدود صادقة بالقدر نفسه: التهشير ليس تشفيراً، فلا مفتاح هنا ولا شيء يُفك رياضياً؛ وللمدخل القصير أو الشائع، «عكس» الهاش ليس كسراً تشفيرياً بل بحثاً في جدول حسبه أحدهم مسبقاً. كما أن هذه الأداة تهشّر نصاً لا ملفات، فهي لا تتحقق من ملف تنزيل بقراءته مباشرة؛ الصق نصه إن كان نصاً، أو استعمل أداة سطر أوامر للملفات. ولا يُرفع شيء ولا يُحفظ شيء هنا: أعد تحميل الصفحة وسيعود الحقل فارغاً كما كان.

لماذا هي مجانية؟

هذه الأداة تعمل بالكامل داخل متصفحك: يتحول النص إلى بصمة على جهازك مباشرة عبر SubtleCrypto، ولا يُرسل حرف واحد منه إلى أي خادم. لا حاجة لإنشاء حساب ولا لتسجيل دخول، ولا علامة مائية على الناتج، ولا نسخة مدفوعة تخفي خوارزمية أو تحد من عدد المرات التي تستعمل فيها الأداة. وFreeToGenerate.com مجموعة أدوات تعمل بالمنطق نفسه: مجانية بالكامل لأنها لا تكلّف شيئاً يُذكر لتشغيلها — كل الحساب يجري على جهازك أنت.