Hash SHA-256 en ligne (et SHA-512)

Calculer une empreinte SHA-256 sans rien envoyer

Une fonction de hachage transforme n'importe quelle donnée, un mot ou un fichier de plusieurs centaines de mégaoctets, en une empreinte de longueur fixe. La même entrée donne toujours la même empreinte, et le moindre changement en donne une complètement différente. SHA-256 produit 256 bits, soit 64 caractères hexadécimaux ; SHA-512 en produit 512, soit 128 caractères.

Cet outil affiche d'un coup les quatre empreintes SHA-1, SHA-256, SHA-384 et SHA-512. Le calcul se fait dans votre navigateur, par sa bibliothèque cryptographique intégrée : ni le texte, ni le fichier, ni la clé ne quittent votre appareil.

Mode d'emploi

1. Dans « Hacher », choisissez « Un texte » ou « Un fichier ».
2. Tapez votre texte dans « Texte à hacher » : les empreintes se mettent à jour pendant la frappe. Pour un fichier, cliquez sur « Choisir un fichier » ou déposez-le sur l'outil (200 Mo au maximum).
3. Choisissez le « Format de sortie » : « Hexadécimal minuscule », « Hexadécimal majuscule » ou « Base64 ».
4. Pour signer un message, cochez « HMAC (avec une clé secrète) » et saisissez la « Clé secrète ».
5. Collez l'empreinte publiée dans « Empreinte attendue (pour vérifier) » : l'outil répond « Identique » ou « Différent » et surligne la ligne qui correspond.

Le texte est encodé en UTF-8, comme le font la plupart des langages. Un retour à la ligne compte pour un octet.

Des valeurs pour vérifier

Attention aux accents : « été » saisi avec des « e » suivis d'un accent combinant occupe 7 octets et donne une tout autre empreinte (b71a8c52…), alors que le mot s'affiche pareil. En Base64, la même empreinte de abc tient en 44 caractères au lieu de 64.

Vérifier l'intégrité d'un fichier téléchargé

Les éditeurs de logiciels, les services publics qui diffusent des archives et beaucoup de projets libres publient l'empreinte SHA-256 de chaque fichier. Après le téléchargement, choisissez le fichier, collez l'empreinte annoncée : « Identique » prouve que le fichier n'a pas été abîmé ni modifié en route. Une ligne au format empreinte nom-du-fichier, celle des commandes sha256sum ou shasum -a 256, est acceptée telle quelle.

SHA-1, SHA-256, SHA-512 et HMAC

• SHA-1 (40 caractères) est déconseillé pour la sécurité : une collision, deux fichiers différents de même empreinte, a été publiée en 2017. Il reste utile pour détecter une erreur de transfert.
• SHA-256 est la référence actuelle pour les sommes de contrôle, les certificats et les signatures.
• SHA-512 donne une empreinte deux fois plus longue ; sur un processeur 64 bits sans instructions dédiées, il se calcule souvent plus vite que SHA-256. SHA-384 en est une version tronquée.
• HMAC mélange une clé secrète au calcul : seul celui qui connaît la clé peut produire ou vérifier l'empreinte. C'est ainsi que l'on signe les requêtes d'une API ou les notifications envoyées entre deux serveurs. La dernière ligne du tableau en donne un exemple.

Un hash n'est pas un chiffrement : il n'y a pas de clé pour revenir au texte de départ. Il ne suffit pas non plus pour stocker des mots de passe, car SHA-256 se calcule des milliards de fois par seconde sur une carte graphique. On utilise des fonctions conçues pour être lentes et salées : bcrypt, scrypt ou Argon2.

Questions fréquentes

Peut-on retrouver le texte à partir d'un hash SHA-256 ?

Non, pas par le calcul. Les sites qui « décryptent » un SHA-256 consultent seulement des listes d'empreintes de mots courants : un texte long ou aléatoire n'y figure pas.

Pourquoi mon empreinte ne correspond-elle pas à celle d'un autre outil ?

Presque toujours à cause de l'entrée : espace ou retour à la ligne final, encodage autre que l'UTF-8, accent composé différemment. Les majuscules de l'hexadécimal, elles, ne changent rien.

Mon fichier est-il envoyé sur Internet ?

Non. Il est lu et haché dans la mémoire de votre navigateur, qui le traite d'un seul bloc, d'où la limite de 200 Mo. Une fois la page chargée, l'outil fonctionne même hors connexion.