Vous téléchargez un logiciel et le site affiche une longue suite de lettres et de chiffres à côté du lien : c'est une empreinte (hash) qui permet de vérifier que le fichier n'a été ni corrompu ni altéré. Les mêmes mécanismes servent, dans un autre contexte, à stocker des mots de passe. Les deux usages exigent des algorithmes différents, et les confondre est une erreur de sécurité courante.
Ce qu'est une empreinte
Une fonction de hachage transforme n'importe quelle donnée (un mot, un fichier de 4 Go) en une suite de longueur fixe. Elle est déterministe (la même entrée donne toujours la même empreinte) et sensible : modifier un seul bit change complètement le résultat. Par exemple, le SHA-256 du texte « abc » commence par ba7816bf…, alors que celui de « abd » commence par a52d159f…, sans aucune ressemblance. L'opération ne se renverse pas : on ne retrouve pas le texte à partir de l'empreinte.
| Algorithme | Taille | Caractères hexadécimaux | Statut |
|---|---|---|---|
| MD5 | 128 bits | 32 | Cassé pour la sécurité (collisions fabricables) ; suffit pour détecter une corruption accidentelle. |
| SHA-1 | 160 bits | 40 | Obsolète pour la sécurité. |
| SHA-256 | 256 bits | 64 | Référence actuelle pour l'intégrité. |
| SHA-512 | 512 bits | 128 | Empreinte plus longue. |
Vérifier un fichier téléchargé, pas à pas
- Repérez sur le site officiel l'empreinte publiée (souvent « SHA256 » ou « checksum »), idéalement sur une page chargée en HTTPS différente du lien de téléchargement.
- Ouvrez Générateur de hash SHA-256 (ou Générateur de hash MD5 si seul le MD5 est publié) et déposez le fichier. Il est lu par blocs de 4 Mo avec une barre de progression : même un fichier volumineux (jusqu'à 4 Go) ne sature pas la mémoire. Plusieurs fichiers peuvent être déposés.
- Collez l'empreinte attendue dans « Comparer » : hexadécimal (majuscules ou minuscules, avec ou sans « : »), base64 ou une ligne de sortie de sha256sum sont acceptés.
- Si l'outil affiche une concordance, le fichier est identique à celui qu'a publié l'éditeur. Sinon, ne l'ouvrez pas : retéléchargez-le.
Précision importante : une empreinte vérifie que vous avez reçu le même fichier que celui décrit, pas que ce fichier est inoffensif. Si un attaquant contrôle à la fois le fichier et l'empreinte affichée sur la même page, la vérification ne prouve rien.
Hacher du texte : les détails qui changent tout
Le texte est haché en UTF-8, exactement tel que saisi. Un retour à la ligne final modifie l'empreinte : le SHA-256 de « abc » et celui de « abc » suivi d'un saut de ligne sont totalement différents (edeaaff3… contre ba7816bf…). C'est la cause la plus fréquente de « mon hash ne correspond pas » : vérifiez les espaces et sauts de ligne invisibles. Cochez HMAC pour produire un code d'authentification avec une clé secrète : seul quelqu'un qui connaît la clé peut reproduire la même empreinte.
Mots de passe : pourquoi pas SHA-256, et bcrypt à la place
- Le sel est aléatoire et intégré au résultat : le même mot de passe donne un hachage différent à chaque fois, et la vérification fonctionne quand même.
- bcrypt ne lit que les 72 premiers octets du mot de passe (en UTF-8, une lettre accentuée compte pour 2, un émoji pour 4) : l'outil prévient en cas de dépassement.
- Le calcul se fait sans figer l'écran, avec une vraie barre de progression ; le mot de passe n'est ni envoyé ni enregistré.
Pour choisir un mot de passe solide, lisez Mots de passe solides : entropie, phrases de passe et fuites de données.
Erreurs fréquentes
- Utiliser MD5 ou SHA-1 pour des signatures ou des mots de passe.
- Stocker des mots de passe avec un simple SHA-256, même salé.
- Comparer des empreintes à l'œil : une seule lettre diffère et on ne la voit pas. Utilisez la comparaison de l'outil.
- Ignorer les différences de casse ou de sauts de ligne en hachant du texte.
- Croire qu'une empreinte identique garantit l'innocuité du fichier.
Limites honnêtes
- Un hachage ne chiffre rien : il n'est pas réversible mais les mots de passe courts peuvent être retrouvés par essais.
- Les empreintes MD5 et SHA-1 ne doivent plus servir à la sécurité.
- bcrypt est un choix solide mais ne remplace pas une politique complète (limitation des essais, authentification à deux facteurs).
Questions fréquentes
Mon fichier est-il envoyé pour calculer son empreinte ?
Non. Le calcul est fait dans votre navigateur, le fichier est lu par blocs de 4 Mo sur votre appareil.
Pourquoi deux textes presque identiques ont-ils des empreintes sans rapport ?
C'est voulu : modifier un seul bit change complètement le résultat. On appelle cela l'effet avalanche.
MD5 est-il encore utilisable ?
Pour détecter une corruption accidentelle, oui. Pour toute fin de sécurité (signature, mot de passe), non : utilisez SHA-256 ou, pour les mots de passe, bcrypt.
Quel coût bcrypt choisir ?
10 à 12 pour un site web. Choisissez la valeur la plus haute que vos serveurs supportent sans ralentir la connexion des utilisateurs.
Peut-on retrouver un texte à partir de son empreinte ?
Pas directement. Mais un mot de passe court ou courant peut être retrouvé par essais, d'où l'intérêt d'un algorithme lent comme bcrypt.