Générateur de hash SHA-256
Calculez l’empreinte d’un texte en SHA-1, SHA-256, SHA-384 ou SHA-512. Le calcul utilise l’API de chiffrement de votre navigateur : rien n’est transmis.
Ce qu’est une fonction de hachage
Une fonction de hachage transforme une donnée de taille quelconque en une empreinte de longueur fixe. Trois propriétés la définissent :
- Déterministe : la même entrée donne toujours la même empreinte, sur n’importe quelle machine.
- À sens unique : on ne peut pas remonter de l’empreinte au texte d’origine par le calcul.
- Sensible : changer un seul caractère modifie environ la moitié des bits de sortie. C’est l’effet avalanche : deux textes voisins donnent des empreintes totalement différentes.
D’où les usages : vérifier qu’un fichier n’a pas été altéré, comparer deux contenus sans les transmettre, indexer des données, signer électroniquement, repérer des doublons.
Hacher n’est pas chiffrer
Le chiffrement est réversible avec la clé : c’est tout son intérêt. Le hachage, lui, détruit l’information — une empreinte de 64 caractères ne peut pas contenir un roman. Il n’existe donc pas de « déhachage », et les sites qui prétendent « décrypter un MD5 » se contentent de chercher l’empreinte dans un dictionnaire de valeurs déjà calculées. C’est aussi pourquoi un hachage ne remplace ni l’encodage Base64, qui est une simple transformation réversible, ni un véritable chiffrement.
Quel algorithme choisir
| Algorithme | Taille | État |
|---|---|---|
| MD5 | 128 bits — 32 caractères | Cassé : des collisions se calculent en quelques secondes |
| SHA-1 | 160 bits — 40 caractères | Cassé : première collision complète publiée en 2017 |
| SHA-256 | 256 bits — 64 caractères | Recommandé, standard de fait |
| SHA-384 | 384 bits — 96 caractères | Recommandé |
| SHA-512 | 512 bits — 128 caractères | Recommandé, souvent plus rapide sur un processeur 64 bits |
« Cassé » signifie qu’un attaquant sait fabriquer deux contenus différents partageant la même empreinte. Pour MD5, l’attaque est à la portée d’un ordinateur personnel depuis les années 2000. Pour SHA-1, la première collision complète a été démontrée en 2017 par une équipe du CWI d’Amsterdam et de Google ; les navigateurs ont cessé d’accepter les certificats signés en SHA-1 dans la même période. Ces deux fonctions restent utiles pour détecter une corruption accidentelle de fichier, mais plus pour résister à une attaque volontaire. MD5 n’est d’ailleurs pas proposé ici : l’API du navigateur ne l’implémente pas, précisément parce qu’il n’a plus de valeur cryptographique.
Pourquoi SHA-256 ne convient pas aux mots de passe
Le défaut du hachage pour stocker un mot de passe est paradoxal : il est trop rapide. Une carte graphique récente teste des milliards de candidats SHA-256 par seconde, ce qui rend tout mot de passe ordinaire retrouvable en peu de temps. Le stockage correct impose deux choses : un sel aléatoire propre à chaque compte, pour que deux mots de passe identiques ne produisent pas la même empreinte, et une fonction lente et paramétrable — bcrypt, scrypt ou Argon2. SHA-256 reste parfait pour les signatures, les sommes de contrôle et les identifiants de contenu, pas pour une table d’utilisateurs. Pour créer le mot de passe lui-même, voyez le générateur de mot de passe.
Vérifier un fichier téléchargé
Cet outil hache du texte, pas des fichiers. Pour contrôler une image disque ou une archive, utilisez la commande de votre système : sha256sum fichier sous Linux, shasum -a 256 fichier sous macOS, certutil -hashfile fichier SHA256 sous Windows. Comparez ensuite avec l’empreinte publiée par l’éditeur. Une seule différence de caractère signifie que le fichier n’est pas celui attendu.
Tout le calcul de cette page passe par l’API Web Crypto intégrée au navigateur. Votre texte n’est ni envoyé, ni enregistré, ni journalisé : c’est une différence de nature avec les générateurs de hash qui fonctionnent côté serveur, où le contenu soumis devient par définition visible par un tiers. Besoin d’un identifiant plutôt que d’une empreinte ? Utilisez le générateur d’UUID.
Questions fréquentes
Peut-on retrouver le texte à partir de l’empreinte ?
Non, pas par le calcul : l’opération détruit l’information. En revanche, si le texte est court et prévisible — un mot du dictionnaire, une date, un numéro de téléphone — un attaquant peut hacher toutes les possibilités jusqu’à retrouver la même empreinte. Une empreinte ne protège donc pas une donnée à faible entropie.
Pourquoi MD5 n’est-il pas proposé ?
Parce que l’API de chiffrement des navigateurs ne l’implémente pas, par choix : MD5 est cassé depuis longtemps et son maintien encouragerait de mauvais usages. Si vous devez vérifier un ancien MD5 publié par un éditeur, passez par la commande système de votre ordinateur.
Pourquoi mon empreinte diffère de celle d’un autre outil ?
Trois causes, dans cet ordre de fréquence : un saut de ligne final invisible dans le texte collé, un encodage différent (ici toujours UTF-8), ou des espaces en fin de ligne. Le hachage porte sur les octets exacts : un caractère de plus change tout le résultat.
Faut-il une connexion sécurisée ?
Oui : l’API Web Crypto n’est disponible que dans un contexte sécurisé (https ou localhost). Sur une page en http simple, le navigateur refuse l’accès à la fonction de hachage et l’outil affiche un message d’erreur explicite.