Un resumen SHA-256 ocupa 32 bytes sea cual sea el tamaño de la entrada; cambiar un bit de la entrada cambia aproximadamente la mitad de los bits de la salida. Los resúmenes identifican el contenido allí donde importa la integridad exacta byte a byte: imágenes de contenedor (sha256:…), objetos de Git, atributos de Subresource Integrity (sha384-…), campos integrity de los archivos de bloqueo (lockfiles), Content-Digest de HTTP (RFC 9530), thumbprints de JWK y huellas digitales de certificados.
En la práctica se firman resúmenes: ECDSA y RSA calculan primero el hash del mensaje, CMS firma un resumen del contenido más los atributos firmados, y un JWS firma un resumen de header.payload. Un resumen solo protege los datos si el propio resumen de referencia procede de una fuente de confianza; publicar la salida de sha256sum junto a una descarga en el mismo servidor protege contra la corrupción, no contra un servidor comprometido.
Registra siempre el algoritmo junto con el valor (sha256:…, multihash, un OID en DigestInfo), compara los resúmenes en tiempo constante cuando hagan de secretos y, en usos de seguridad, no los trunques por debajo de 128 bits de resistencia a colisiones.