Générateur de hash

À propos de cet outil

Cet outil calcule les empreintes (hash) MD5, SHA-1, SHA-256, SHA-384 et SHA-512 d'un texte ou d'un fichier, en hexadécimal ou en Base64. Il calcule aussi une signature HMAC-SHA-256 ou HMAC-SHA-512 à partir d'une clé secrète, pour authentifier un message. Les fichiers sont hachés octet par octet, sans être envoyés à un serveur : pratique pour vérifier l'intégrité d'un téléchargement.

Comment utiliser cet outil

1. Saisissez ou collez le texte à hacher, ou cliquez sur « Hacher un fichier » pour calculer l'empreinte de ses octets bruts.
2. Choisissez le format de sortie : hexadécimal (le plus courant) ou Base64.
3. Consultez simultanément les empreintes MD5, SHA-1, SHA-256, SHA-384 et SHA-512.
4. Pour une signature HMAC, saisissez une clé secrète : les résultats HMAC-SHA-256 et HMAC-SHA-512 apparaissent.
5. Copiez l'empreinte voulue et comparez-la à celle publiée par l'éditeur du fichier.

Qu'est-ce qu'une fonction de hachage ?

Une fonction de hachage transforme n'importe quelle donnée (un mot, un livre, un fichier de plusieurs gigaoctets) en une empreinte de longueur fixe. Les fonctions cryptographiques ont quatre propriétés :

• Déterministe : la même entrée donne toujours la même empreinte.
• Sens unique : à partir de l'empreinte, il est impossible en pratique de retrouver l'entrée.
• Effet d'avalanche : modifier un seul caractère change l'empreinte entière.
• Résistance aux collisions : il est impossible en pratique de trouver deux entrées différentes de même empreinte.

L'effet d'avalanche se constate en remplaçant « abc » par « abd » dans l'outil : le SHA-256 devient a52d159f…49c9, sans la moindre ressemblance avec le précédent. Vous pouvez vérifier ces valeurs avec l'outil : ce sont les valeurs de référence publiées dans les normes.

Quel algorithme choisir ?

MD5 et SHA-1 restent proposés parce qu'on les rencontre encore, par exemple pour vérifier un fichier dont l'éditeur ne publie que ces empreintes, et l'outil les marque comme obsolètes. Les calculs SHA reposent sur l'API de chiffrement du navigateur (SubtleCrypto.digest), et MD5, qu'elle ne prend pas en charge, sur une implémentation intégrée à la page. Tous sont testés contre les valeurs de référence des normes.

Vérifier l'intégrité d'un fichier

Un éditeur sérieux publie, à côté de son logiciel, l'empreinte SHA-256 du fichier. Après le téléchargement, vous recalculez l'empreinte : si elle correspond, le fichier est identique à l'original, sans corruption ni modification.

1. Cliquez sur « Hacher un fichier » et choisissez le fichier téléchargé (jusqu'à 200 Mo). Il est lu localement et n'est jamais envoyé : les octets bruts sont hachés.
2. Comparez le SHA-256 obtenu à celui publié par l'éditeur, caractère par caractère (au moins le début et la fin, mais idéalement l'ensemble : copier-coller dans la barre de recherche de la page évite les erreurs).
3. S'il diffère, ne l'exécutez pas : retéléchargez-le depuis la source officielle.

Hors du navigateur, vous obtenez les mêmes valeurs en ligne de commande : certutil -hashfile fichier SHA256 sous Windows, shasum -a 256 fichier sous macOS, sha256sum fichier sous Linux.

HMAC : authentifier un message avec une clé secrète

Une empreinte simple ne prouve pas qui l'a calculée : n'importe qui peut hacher un message modifié. Le HMAC (défini par la RFC 2104) combine le message et une clé secrète : seule une personne qui connaît la clé peut produire ou vérifier la signature. C'est le mécanisme qui sécurise de nombreux échanges entre serveurs : les webhooks (le service signe chaque notification avec une clé partagée), les API signées, ou les jetons JWT de type HS256 (voir le décodeur JWT).

Pour vérifier un HMAC reçu, recalculez-le avec la même clé et comparez les deux valeurs. Dans votre code, utilisez une comparaison à temps constant (timingSafeEqual en Node.js, hmac.compare_digest en Python), pas une simple égalité de chaînes qui s'arrête à la première différence.

Ce qu'un hash ne fait pas : stocker des mots de passe

On entend parfois « hachez les mots de passe avec SHA-256 ». C'est insuffisant. Les fonctions de cette page sont conçues pour être rapides : un ordinateur équipé de cartes graphiques peut tester des milliards d'empreintes par seconde, et retrouver en quelques heures tous les mots de passe courts ou courants d'une base volée. De plus, une empreinte non salée est identique pour deux utilisateurs qui ont le même mot de passe, et des tables précalculées existent.

Pour protéger des mots de passe, il faut un algorithme volontairement lent et paramétrable (Argon2id, scrypt, bcrypt ou PBKDF2), avec un sel aléatoire propre à chaque mot de passe, comme le détaille la fiche OWASP citée en source. Pour choisir de bons mots de passe côté utilisateur, voir le générateur de mots de passe.

• Hachage n'est pas chiffrement : un hash ne se « déchiffre » pas ; on ne peut que tester des candidats. Un texte court ou prévisible reste donc retrouvable par essais successifs.
• Données personnelles : hacher une adresse e-mail ou un numéro ne les anonymise pas (l'ensemble des valeurs possibles est assez petit pour être énuméré) ; au sens du RGPD, il s'agit de pseudonymisation, pas d'anonymisation.
• Casse et espaces : « Bonjour » et « bonjour », avec ou sans retour à la ligne final, donnent des empreintes totalement différentes. En cas de désaccord avec une valeur attendue, vérifiez d'abord les espaces et les fins de ligne.

Questions fréquentes