01
Ausgelieferte Bytes auswählen
Dateien bleiben bytegenau; eingefügter Text wird als UTF-8 kodiert. Schon ein zusätzliches Zeilenende oder ein anderer Build verändert den Digest.
Web Security Config
SRI-Hash-GeneratorDen Hash der ausgelieferten Bytes festhalten
Datei oder Quelltext wählen; die optionale Adresse dient nur dem HTML-Tag.
SRI-Hash-Generator
Quellinhalt
Text wird als UTF-8 kodiert, Dateien bleiben bytegenau.
SRI-Ergebnis
Inhalt bleibt im Browser; die Adresse wird nicht abgerufen.
Optionen
Eine Datei bis 20 MiB oder Text bis 1.000.000 UTF-16-Einheiten.
Text eingeben oder Datei wählen.
Ein SRI-Hash-Generator hilft, wenn ein CDN-Skript auf genau die geprüfte Fassung festgelegt werden soll. Auch eine HTTPS-Verbindung garantiert nicht, dass der Anbieter morgen dieselben Bytes ausliefert.
Für Subresource Integrity ist ein Base64-kodierter Digest nötig; eine gewöhnliche hexadezimale Dateiprüfsumme passt nicht in das integrity-Attribut. Verwende möglichst die endgültig gebaute Datei.
Warum diesen SRI-Hash-Generator verwenden?
Die Referenz entsteht aus einer Datei, nicht aus einer ungeprüften URL.
Die fertige Datei als Referenz
Der SRI-Hash-Generator liest die Originalbytes einer lokalen Datei einschließlich BOM und Zeilenenden. Eine eingetragene CDN-Adresse wird nicht abgerufen und kann die geprüfte Vorlage nicht unbemerkt ersetzen.
Vorhandenen Wert abgleichen
Ein einzelner SRI-Wert desselben Verfahrens lässt sich gegen die aktuelle Eingabe prüfen. Jede Änderung macht das Ergebnis sofort veraltet und sperrt Kopieren und Download.
Drei Prüfungen vor dem Einbau
02
Verfahren und Referenz abstimmen
SHA-384 ist voreingestellt. Das Vergleichsfeld akzeptiert genau einen Token mit demselben Verfahren; nach einer Umstellung neu berechnen.
03
Tag und Server getrennt prüfen
Die Adresse erzeugt nur src oder href im Tag. Ob der CDN-Server CORS erlaubt und wirklich diese Datei liefert, musst du im Browser der Website testen.
Vom Digest zum verwendbaren Tag
Spezifikationsgerechter Wert
SRI-Hash berechnen heißt hier: SHA-256, SHA-384 oder SHA-512 auf echte Bytes anwenden und den Digest als Base64 mit Präfix ausgeben.
Lokale Gegenprobe
Ein bestehender Token wird vollständig geprüft und verglichen. Eine gültige, aber andere Prüfsumme ergibt eine Abweichung statt einer irreführenden Formatfehlermeldung.
Skript oder Stylesheet
Das erzeugte Tag maskiert die Adresse als HTML-Attribut und ergänzt crossorigin="anonymous". Es prüft keine Antwortheader.
Abbrechen ohne alte Freigabe
Bis zu 20 MiB verarbeitet ein Worker. Abbruch oder geänderte Optionen deaktivieren jeden Export eines nicht mehr aktuellen Werts.
Grenzen des lokalen Nachweises
- Keine Netzabfrage
- Das URL-Feld baut nur Markup. Weder CDN-Inhalt noch CORS-Konfiguration oder Erreichbarkeit werden gemessen; das muss nach der Bereitstellung geschehen.
- Nur ein Vergleichstoken
- Bei verschiedenen Algorithmen im selben integrity-Attribut verwendet der Browser den stärksten. Dieses Formular prüft deshalb keine gemischten Listen nach der falschen „irgendeiner passt“-Regel.
- Änderungen erfordern neue Werte
- Dynamische Dateien, CDN-Umschreibung oder ein neuer Bundle-Build verändern Bytes. Den Wert für jede endgültige Version erneut erstellen.
- Begrenzte Eingaben
- Eine Datei bis 20 MiB oder Text bis 1.000.000 UTF-16-Einheiten. Kein URL-Abruf, keine Ordnerstapel, kein MD5 oder SHA-1 und keine Prüfung auf schädlichen Code.
Fragen zum SRI-Hash-Generator
Funktioniert SRI für Dateien, die regelmäßig geändert werden?
Nur bei unveränderten Bytes. Für regelmäßig geänderte Dateien ist ein festes integrity-Attribut ungeeignet; verwende eine versionierte, stabile Ressource und berechne nach jeder Freigabe neu.
Warum ist das crossorigin-Attribut bei CDN-Dateien nötig?
Bei fremder Herkunft verlangt SRI eine CORS-fähige Anfrage und eine passende Antwort des Servers. Das Tag setzt crossorigin="anonymous"; die Antwort kann dieses Offline-Werkzeug nicht prüfen.
Schützt SRI auch vor einer bereits bösartigen Bibliothek?
Nein. Ein passender Hash bestätigt nur die Übereinstimmung mit deiner Referenz. Eine bereits bösartige Bibliothek oder eine kompromittierte Referenz bleibt gefährlich.
Ist Selbsthosten eine Alternative zu SRI?
Ja, du kannst die Datei selbst hosten. SRI kann auch dort für unveränderliche Ressourcen sinnvoll sein; die Wahl hängt von Bereitstellung und Vertrauen in die Referenz ab.
Werden Eingaben beim SRI-Hash-Generator lokal im Browser verarbeitet?
Ja. Der SRI-Hash-Generator berechnet Datei oder Text im Browser. Die optionale Adresse wird nicht abgefragt; Eingaben werden nicht dauerhaft gespeichert.
Fehlt eine Antwort zu Ihrem Dateivergleich?
SRI-Hash-Generator für die nächste Version öffnen
Nimm im SRI-Hash-Generator die tatsächlich auszuliefernde Datei und prüfe Wert und Tag vor der Freigabe erneut.