Générateur de hash et calculateur de checksum

Ce qu'est un hash

Une fonction de hachage cryptographique transforme n'importe quelle entrée — un mot, un document, un ISO de 4 Go — en une courte empreinte de longueur fixe. La même entrée donne toujours la même empreinte, et changer un seul bit de l'entrée change complètement l'empreinte. Un bon hash est aussi à sens unique : on ne peut pas remonter de l'empreinte à l'entrée, ni trouver deux entrées ayant la même empreinte.

C'est ce qui rend les hashes utiles pour vérifier l'intégrité. Si le SHA-256 du fichier téléchargé est égal au SHA-256 indiqué par l'éditeur, le fichier est identique octet pour octet à celui qu'il a publié, et non un téléchargement tronqué ou une copie altérée. Les hashes servent aussi à identifier le contenu dans Git, à dédupliquer les fichiers dans les sauvegardes et à signer des données avec une clé.

Quel algorithme choisir ?

SHA-256

Le choix par défaut aujourd'hui : sûr, pris en charge partout, et utilisé par la plupart des pages de téléchargement, gestionnaires de paquets et certificats.

SHA-384 / SHA-512

Des membres plus longs de la famille SHA-2. SHA-512 est souvent plus rapide que SHA-256 sur les machines 64 bits. SHA-384 est courant dans les valeurs Subresource Integrity.

SHA3-256 / SHA3-512

Une conception différente (Keccak), normalisée en 2015 comme solution de secours au cas où SHA-2 serait un jour affaibli. Sûr, mais moins répandu.

BLAKE3

Un hash sûr moderne et très rapide, apprécié pour les sommes de contrôle de fichiers et l'adressage par contenu dans les outils récents.

MD5 et SHA-1

Cassés pour la sécurité : des chercheurs savent créer des fichiers différents ayant la même empreinte. Encore utilisables pour repérer une corruption accidentelle et comparer d'anciennes sommes de contrôle, mais à ne jamais utiliser face à un attaquant.

CRC32

Un code de détection d'erreurs sur 32 bits, pas un hash cryptographique. Utilisé dans ZIP, PNG et Ethernet pour repérer les dommages accidentels ; trivial à falsifier volontairement.

Vérifier un fichier téléchargé

Les pages de téléchargement des systèmes d'exploitation et des logiciels publient souvent une somme de contrôle à côté du fichier, ou un fichier SHA256SUMS. Déposez votre téléchargement ici, collez la valeur publiée dans le champ du checksum attendu, et l'empreinte correspondante s'allume. La comparaison ignore la casse et les espaces autour, et accepte telle quelle une ligne sha256sum complète ou une valeur d'intégrité sha384-….

Une correspondance prouve que le fichier est intact, mais ne prouve son authenticité que si vous avez obtenu la somme de contrôle d'une source de confiance — idéalement en HTTPS depuis le site de l'éditeur, ou avec une signature. Un attaquant capable de remplacer le fichier sur un miroir peut aussi remplacer la somme de contrôle à côté.

Le fichier de sommes de contrôle exporté utilise la disposition standard <digest> <filename> : sha256sum -c checksums.sha256 sous Linux et macOS pourra donc le vérifier plus tard.

Hacher des mots de passe ? Utilisez une fonction dédiée

Les hashes généralistes comme MD5, SHA-1 et même SHA-256 sont conçus pour être rapides, ce qui est exactement l'inverse de ce qu'il faut pour des mots de passe : un attaquant équipé d'un GPU peut tester des milliards de propositions par seconde contre une liste divulguée. Stockez les mots de passe avec une fonction de hachage de mots de passe lente et salée comme Argon2id, bcrypt ou scrypt, via le support intégré de votre framework. Pour créer des mots de passe ou des clés robustes, utilisez le générateur de mots de passe.

Pour authentifier un message avec un secret partagé, comme une signature de webhook, utilisez un HMAC plutôt que de hacher vous-même le secret et le message ensemble. L'onglet HMAC calcule HMAC-SHA256, HMAC-SHA384 et HMAC-SHA512 avec l'API Web Crypto de votre navigateur.