チェックサムでダウンロードしたファイルが本物か確かめる方法

ガイド · 2026年10月12日更新 · 執筆：Tiago Santos

ソフトウェアや OS、ファームウェアのダウンロードページには、ファイルの横に SHA-256 や「checksum」と書かれた長いコードが載っていることがよくあります。これを使えば、ダウンロードしたファイルが配布元の公開したものとまったく同じであること、つまり途中で壊れておらず、改ざんされたコピーにすり替えられてもいないことを確かめられます。

チェックサムとは

チェックサム（ハッシュ）は、ファイルのすべてのバイトから計算した指紋のようなものです。1 バイトでも変わると、指紋はまったく別物になります。ダウンロードしたファイルの指紋が配布元の掲載しているものと一致すれば、ファイルは同一です。

現在の標準は SHA-256 です。古いサイトでは MD5 や SHA-1 を見かけることもあります。壊れたダウンロードを見つけるには十分ですが、意図的な改ざんに対してはもう安全ではありません。

ブラウザで確かめる

チェックサムを開き、ダウンロードページのチェックサムを貼り付けます。
ダウンロードしたファイルを選びます。数 GB あっても、計算はあなたのデバイス上で行われます。
「一致しました」か「一致しません」と表示されます。一致しなければ、ファイルを削除して公式サイトからダウンロードし直してください。

Windows の場合

PowerShell を開いて Get-FileHash ファイルのパス を実行すると、SHA-256 のハッシュが表示されます。コマンドプロンプトなら certutil -hashfile ファイルのパス SHA256 で同じことができます。

Mac と Linux の場合

ターミナルを開き、Mac なら shasum -a 256 ファイルのパス、Linux なら sha256sum ファイルのパス を実行します。

ファイルではなくテキストのハッシュ

開発者は、API の署名を比べるときなど、テキストのハッシュが必要になることがあります。ハッシュ生成は入力と同時に MD5、SHA-1、SHA-256〜SHA-512 を表示し、秘密鍵を使った HMAC にも対応しています。

ひとつ注意

チェックサムが証明するのは、ファイルがページに載っている値と一致することだけです。サイト自体が乗っ取られていれば、両方とも差し替えられているかもしれません。重要なソフトウェアでは配布元がリリースに電子署名もしていますが、日常的なダウンロードには、チェックサムが手早く実用的な確認方法です。