Générateur de hash
Calculez le hash MD5, SHA-1, SHA-256, SHA-384 et SHA-512 d'un texte ou d'un fichier, en direct.
—————Ce que fait vraiment un hash
Une fonction de hachage transforme une donnée de taille quelconque — trois lettres ou un fichier de dix gigaoctets — en une empreinte de longueur fixe. Elle est déterministe : la même entrée donne toujours la même sortie. Elle est sensible : un seul bit modifié change environ la moitié des bits de l'empreinte. Et elle est à sens unique : aucune opération ne permet de revenir à l'entrée.
Un hash n'est donc ni un chiffrement ni un encodage. Le chiffrement est réversible avec une clé, l'encodage l'est sans clé, le hachage ne l'est pas du tout — il ne conserve pas assez d'information pour cela. Sa valeur pratique tient à trois propriétés qu'on attend d'un bon algorithme : impossible de retrouver une entrée à partir d'une empreinte donnée, impossible d'en trouver une seconde produisant la même empreinte, et impossible de fabriquer deux entrées différentes qui collisionnent. C'est cette troisième propriété qui a cédé pour MD5 puis pour SHA-1.
À quoi ça sert au quotidien
- Vérifier un téléchargement — comparer le SHA-256 d'une image ISO ou d'une archive au condensat publié par l'éditeur. Un seul caractère de différence signale un fichier tronqué ou substitué.
- Détecter un doublon — deux fichiers au même SHA-256 ont le même contenu, quel que soit leur nom ou leur date. C'est le principe des outils de déduplication.
- Comparer sans divulguer — vérifier que deux systèmes détiennent la même valeur en échangeant les empreintes plutôt que les données, à condition que ces données ne soient pas devinables.
- Identifier une version — les identifiants de commit Git, les noms de fichiers issus d'un build, les caches indexés par contenu reposent tous sur des empreintes.
- Vérifier un ancien checksum MD5 — de nombreux dépôts historiques ne publient que du MD5. L'outil le calcule pour cette raison, malgré ses faiblesses cryptographiques.
Les cinq algorithmes en un coup d'œil
| Algorithme | Empreinte | En hexadécimal | Statut |
|---|---|---|---|
| MD5 | 128 bits | 32 caractères | Cassé en collision — checksum uniquement |
| SHA-1 | 160 bits | 40 caractères | Cassé en collision — hérité, à ne plus déployer |
| SHA-256 | 256 bits | 64 caractères | Recommandé — défaut de fait |
| SHA-384 | 384 bits | 96 caractères | Recommandé — variante tronquée de SHA-512 |
| SHA-512 | 512 bits | 128 caractères | Recommandé — souvent plus rapide en 64 bits |
« Cassé en collision » signifie qu'un attaquant peut construire deux contenus distincts partageant la même empreinte. Cela invalide toute utilisation comme preuve d'authenticité, mais n'a jamais permis de retrouver une entrée à partir de son empreinte, ni d'altérer un fichier existant pour qu'il conserve son MD5. Un checksum d'intégrité accidentelle reste donc valide.
Non. Une fonction de hachage n'est pas un chiffrement : il n'existe aucune clé et aucune opération inverse. Le calcul détruit de l'information — une entrée de n'importe quelle taille produit toujours une empreinte de taille fixe. En revanche, retrouver une entrée courte ou prévisible reste possible en la devinant — on rehache des milliards de candidats jusqu'à retomber sur la même empreinte : c'est l'attaque par dictionnaire ou par force brute. Des tables précalculées, dites arc-en-ciel, permettent d'accélérer encore ce travail quand le hash n'est pas salé. Un secret faible n'est donc pas protégé par un hash.
Non. SHA-1, SHA-256, SHA-384 et SHA-512 sont calculés par l'API Web Crypto du navigateur (crypto.subtle.digest) et MD5 par une implémentation JavaScript embarquée dans la page. Un fichier déposé est lu localement par le navigateur : ses octets ne quittent jamais votre machine, et la page fonctionne même hors ligne une fois chargée.
Pour vérifier qu'un fichier n'a pas été corrigé par accident — transfert interrompu, disque défaillant, cache incohérent — oui : MD5 reste rapide et détecte parfaitement une altération involontaire. Pour tout ce qui suppose un adversaire, non : depuis 2004, fabriquer deux fichiers différents partageant le même MD5 se fait en quelques secondes. Une signature ou un contrôle d'authenticité fondés sur MD5 n'apportent donc aucune garantie.
Trois algorithmes distincts produisant des empreintes de 128, 160 et 256 bits. La différence pratique n'est pas la longueur mais la résistance aux collisions : MD5 est cassé depuis 2004, SHA-1 depuis la collision publiée par Google et le CWI en 2017, puis l'attaque à préfixe choisi de 2020. SHA-256 et SHA-512 appartiennent à la famille SHA-2 et ne présentent aucune attaque pratique connue à ce jour.
Non, et c'est une erreur classique. MD5, SHA-1 et SHA-2 sont conçus pour être très rapides : un GPU en teste des milliards par seconde, ce qui joue en faveur de l'attaquant. Stocker un mot de passe demande une fonction lente et salée — bcrypt, scrypt ou Argon2 — dont le coût de calcul est réglable. Ces fonctions ne sont pas dans le périmètre de cet outil.
Presque toujours à cause de l'entrée, pas de l'algorithme. En mode texte, l'entrée est encodée en UTF-8 exactement telle qu'elle est saisie : un espace en trop, un retour à la ligne final ou un accent composé différemment changent entièrement l'empreinte. C'est pourquoi la vérification d'un téléchargement se fait sur le fichier lui-même, jamais sur du texte recopié.