HTML-Tools

Kostenlose SRI Hash Generator

Erstelle Subresource-Integrity-Hashes für Skript- und Stylesheet-Dateien mit SHA-256, SHA-384 oder SHA-512.

Tool wird geladen...

Was ist SRI Hash Generator?

Subresource Integrity (SRI) ist eine Browser-Sicherheitsfunktion, die den Inhalt externer Skripte und Stylesheets uberpruft. Sie fugen Ihrem script- oder link-Tag ein integrity-Attribut mit einem kryptografischen Hash der Datei hinzu. Bevor der Browser die Datei ausfuhrt, berechnet er seinen Hash und vergleicht ihn mit dem integrity-Wert. Stimmen die Hashes nicht uberein -- weil die Datei geandert, kompromittiert oder beschadigt wurde -- blockiert der Browser die Ressource.

Kurze Antwort

Verwenden Sie Subresource Integrity (SRI), um Ihre Site vor kompromittierten CDN-Dateien zu schutzen. Generieren Sie einen kryptografischen Hash des Dateiinhalts, fugen Sie das integrity-Attribut zu Ihrem script- oder link-Tag hinzu und schlieBen Sie crossorigin='anonymous' ein. Der Browser blockiert die Ressource, wenn ihr tatsachlicher Hash nicht ubereinstimmt.

Last updated: 2026-05-28

Einschränkungen

SRI uberpruft nur den Dateiinhalt beim Laden. Es schutzt nicht vor Sicherheitslucken innerhalb der geladenen Bibliothek selbst (wie XSS in einer veralteten jQuery-Version). Halten Sie Bibliotheken stets aktuell.
Der Hash muss jedes Mal neu generiert werden, wenn sich die entfernte Datei andert. Wenn Sie vergessen, das integrity-Attribut nach einem Bibliotheks-Update zu aktualisieren, wird die Ressource blockiert und die Seite kann beschadigt werden.
SRI funktioniert nicht mit Ressourcen, die Anmeldeinformationen (Cookies, HTTP-Auth) von einem anderen Ursprung benotigen. Verwenden Sie fur berechtigte ursprungsubergreifende Anfragen crossorigin='use-credentials' statt 'anonymous'.

Sources:MDN Web Docs · W3C Specifications · jquery.app on GitHub

So nutzt du dieses Tool

Geben Sie den Dateiinhalt an, indem Sie den Code direkt einfugen, die Datei hochladen oder beides (eingefugter Inhalt hat Vorrang).
Wahlen Sie den Hash-Algorithmus -- SHA-256 ist der Standard; SHA-384 und SHA-512 sind ebenfalls gultig.
Kopieren Sie das generierte integrity-Attribut und das vollstandige script- oder link-Tag in Ihr HTML.

Wofür du es nutzen kannst

Fugen Sie Integritatsprufungen zu CDN-gehosteten Skripten wie jQuery, Bootstrap oder anderen Drittanbieter-Bibliotheken hinzu.
Uberprufen Sie, ob eine heruntergeladene Bibliotheksdatei mit dem erwarteten Hash ubereinstimmt, bevor Sie sie in der Produktion bereitstellen.
Generieren Sie Integritatsattribute fur selbst gehostete Assets bei Verwendung eines CDN und einer Subdomain fur das Caching.

Anwendungsfalle

Praxisbeispiele

Beispiel

Absicherung eines CDN-Script-Tags

Eine Site ladt eine Dienstprogrammbibliothek von einem CDN. Generieren Sie den SRI-Hash aus dem genauen Dateiinhalt, fugen Sie das integrity-Attribut zum script-Tag hinzu und schlieBen Sie crossorigin='anonymous' ein. Wurde die CDN-Datei jemals manipuliert, weigert sich der Browser, sie auszufuhren.

Beispiel

Uberprufung einer heruntergeladenen Bibliothek

Ein Entwickler ladt ein minifiziertes CSS-Framework herunter und mochte bestatigen, dass es nicht verandert wurde. Laden Sie die Datei hoch, um ihren SHA-384-Hash zu generieren, und vergleichen Sie ihn mit dem auf der offiziellen Website des Frameworks veroffentlichten Hash.

Haufige Fehler

Einen Hash aus einer Entwicklungsversion einer Datei zu generieren und ihn fur eine andere Produktionsversion zu verwenden -- die Hashes werden nicht ubereinstimmen.
Das crossorigin='anonymous'-Attribut auf dem script- oder link-Tag zu vergessen, was den Browser daran hindert, den Hash fur ursprungsubergreifende Ressourcen zu berechnen.
Den Integritats-Hash nach einem CDN-Bibliotheks-Upgrade niemals zu aktualisieren -- alte Hashes blockieren die neue Datei und brechen die Seite.

Überprüfung

Prufen Sie den Netzwerk-Tab der Browser-Entwicklertools -- eine Ressource mit einem ubereinstimmenden Integritats-Hash wird normal geladen; eine nicht ubereinstimmende Ressource wird rot mit einem SRI-Fehler blockiert.
Uberprufen Sie den generierten Hash durch unabhangige Berechnung: openssl dgst -sha256 -binary datei.js | openssl base64 -A sollte mit dem generierten integrity-Wert ubereinstimmen.

FAQ

Fragen zu SRI Hash Generator

Benotige ich crossorigin='anonymous', damit SRI funktioniert?

Ja, wenn die Ressource von einer anderen Domain als Ihrer Seite bereitgestellt wird. Ohne crossorigin='anonymous' kann der Browser den Hash einer ursprungsubergreifenden Ressource nicht berechnen und die Integritatsprufung wird ubersprungen. Bei Ressourcen vom gleichen Ursprung ist crossorigin nicht erforderlich, aber es schadet nicht, es einzuschlieBen.

Was passiert, wenn der SRI-Hash nicht mit der Datei ubereinstimmt?

Der Browser weigert sich vollstandig, das Skript auszufuhren oder das Stylesheet anzuwenden. Die Ressource wird blockiert und ein Fehler erscheint in der Browser-Konsole. Dies schutzt Ihre Benutzer vor kompromittierten CDN-Dateien, bedeutet aber auch, dass ein legitimes Datei-Update ohne entsprechendes Hash-Update Ihre Seite beschadigt.

Welchen Hash-Algorithmus sollte ich fur SRI verwenden?

SHA-256 ist der Standard und am weitesten verbreitet. SHA-384 und SHA-512 sind ebenfalls gultig und bieten starkere Kollisionsresistenz, aber die groBeren Hash-Werte fugen Ihrem HTML mehr Bytes hinzu. Fur den Web-Einsatz ist SHA-256 ausreichend -- die Sicherheit kommt von der Integritatsprufung selbst, nicht von der Hash-Lange.

Kann ich SRI mit dynamisch geladenen Skripten verwenden?

SRI funktioniert nur mit statischen script- und link-Tags im HTML. Bei dynamisch geladenen Skripten (uber import() oder appendChild) konnen Sie die integrity-Eigenschaft am script-Element setzen, bevor Sie es anhangen. Mit import() geladene Modul-Skripte unterstutzen SRI nicht direkt -- verwenden Sie stattdessen Import Maps mit Integritat.

Verwandte Tools