Verificar um download

Tradução automática provisória, não revisada. Em caso de dúvida, consulte a versão em inglês, que é a versão de referência.

Todo arquivo publicado aqui vem com uma soma de verificação SHA-256 e uma assinatura GPG, assinadas com uma única chave.

Importe a chave uma única vez, ela vale para todos os downloads deste site: chave pública.

gpg --import cordelia-signing-key.asc

Depois execute os dois comandos na pasta que contém o arquivo baixado, substituindo o nome dele:

sha256sum -c FILE.sha256
gpg --verify FILE.asc FILE

Como é uma verificação bem-sucedida

sha256sum -c imprime uma linha terminada em OK. gpg --verify imprime várias linhas; na primeira vez elas aparecem assim, o GPG pode exibi-las no seu idioma, e o endereço de contato contido no nome da chave foi omitido aqui:

gpg: Signature made Thu 17 Sep 2026 08:50:48 AM PDT
gpg:                using RSA key 96C905387D861330DF0ABF596F856B529AC60669
gpg: Good signature from "Venhola Consulting Release Signing" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: CEF6 8070 0501 5D06 CEBD  6160 3B59 6D62 DBC6 0119
     Subkey fingerprint: 96C9 0538 7D86 1330 DF0A  BF59 6F85 6B52 9AC6 0669

Esse aviso não significa que a verificação falhou. Good signature é o resultado que importa: o arquivo foi assinado com esta chave e não mudou desde então. O aviso apenas diz que você não certificou a chave assinando-a pessoalmente, o que quase ninguém faz. Uma falha real diz BAD signature.

A chave de assinatura

Uma única chave assina tudo o que é publicado aqui. Confirme que a chave importada é esta, em vez de confiar na que acompanhe um arquivo:

gpg --fingerprint CEF6807005015D06CEBD61603B596D62DBC60119

A impressão digital é CEF6 8070 0501 5D06 CEBD 6160 3B59 6D62 DBC6 0119, RSA 4096, subchave de assinatura 6F856B529AC60669, a mesma chave citada na linha Primary key fingerprint acima. Uma chave com impressão digital diferente não é a deste projeto, seja qual for o nome que ela tenha.

Por que os dois

Uma soma de verificação descarta uma transferência danificada. Ela não prova a origem do arquivo: qualquer pessoa pode publicar uma soma correspondente a um arquivo alterado. É a assinatura que estabelece isso.

Veja também