Verificar una descarga

Traducción automática provisional, sin revisar. En caso de duda, consulte la versión en inglés, que es la versión de referencia.

Cada archivo publicado aquí incluye una suma de comprobación SHA-256 y una firma GPG, firmadas con una única clave.

Importe la clave una sola vez: cubre todas las descargas de este sitio: clave pública.

gpg --import cordelia-signing-key.asc

Después ejecute ambos comandos desde la carpeta que contiene el archivo descargado, sustituyendo su nombre:

sha256sum -c FILE.sha256
gpg --verify FILE.asc FILE

Cómo se ve una comprobación correcta

sha256sum -c imprime una línea que termina en OK. gpg --verify imprime varias líneas; en un primer intento se ven así: GPG puede mostrarlas en su idioma, y aquí se omite la dirección de contacto incluida en el nombre de la clave:

gpg: Signature made Thu 17 Sep 2026 08:50:48 AM PDT
gpg:                using RSA key 96C905387D861330DF0ABF596F856B529AC60669
gpg: Good signature from "Venhola Consulting Release Signing" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: CEF6 8070 0501 5D06 CEBD  6160 3B59 6D62 DBC6 0119
     Subkey fingerprint: 96C9 0538 7D86 1330 DF0A  BF59 6F85 6B52 9AC6 0669

Esa advertencia no significa que la comprobación haya fallado. Good signature es el resultado que importa: el archivo se firmó con esta clave y no ha cambiado desde entonces. La advertencia solo indica que usted no ha certificado la clave firmándola personalmente, algo que casi nadie hace. Un fallo real dice BAD signature.

La clave de firma

Una sola clave firma todo lo que se publica aquí. Compruebe que la clave que importó es esa, en lugar de confiar en la que acompañe a un archivo:

gpg --fingerprint CEF6807005015D06CEBD61603B596D62DBC60119

La huella es CEF6 8070 0501 5D06 CEBD 6160 3B59 6D62 DBC6 0119, RSA 4096, subclave de firma 6F856B529AC60669, la misma clave que nombra la línea Primary key fingerprint anterior. Una clave cuya huella no coincida no es la de este proyecto, sea cual sea el nombre que lleve.

Por qué ambos

Una suma de comprobación descarta una transferencia dañada. No prueba de dónde procede el archivo: cualquiera puede publicar una suma que coincida con un archivo alterado. La firma es lo que lo establece.

Véase también