Analyser
Vérificateur de hash de fichier
Le hash d'un fichier, ou somme de contrôle, est une empreinte courte de son contenu exact. Obtenez le SHA-256 d'un téléchargement, d'un installateur, d'une archive ou d'un document, comparez-le à celui fourni par l'éditeur, ou vérifiez si deux fichiers sont identiques.
Les fichiers sont lus morceau par morceau sur votre appareil, avec une progression et un bouton Annuler : même les téléchargements de plusieurs gigaoctets peuvent être vérifiés. Rien n'est envoyé.
- Hashs identiquesVotre fichier est, octet pour octet, celui à partir duquel la somme de contrôle a été calculée.
- Hashs différentsC'est un autre fichier, ou il a été modifié ou endommagé, par exemple par un téléchargement interrompu.
- Ce qu'il ne dit pasQui a créé le fichier, ou s'il est sûr. Cela dépend de la provenance de la somme de contrôle.
Résultat
Vous vérifiez des photos ? Le Vérificateur d'empreinte d'image fait le même contrôle des octets exacts, conçu pour comparer des images. Un hash ne peut pas dire si deux images se ressemblent : pour cela, utilisez le Détecteur d'images en double.
Majuscules, minuscules et espaces en trop ne comptent pas. L'algorithme est reconnu à la longueur. Une liste avec un « hash nom de fichier » par ligne fonctionne aussi.
Vérifiez que la somme de contrôle concerne exactement ce fichier et cette version, avec le même algorithme. Si c'est le cas, téléchargez à nouveau le fichier depuis la source officielle ; n'ouvrez pas un fichier qui échoue à la vérification.
Mode d'emploi
Vérifier un téléchargement en quatre étapes
- Choisissez le fichier. Son SHA-256 est calculé sur votre appareil, avec une progression pour les gros fichiers. Copiez-le d'un clic.
- Collez la somme de contrôle attendue depuis la page de téléchargement de l'éditeur. Majuscules, minuscules et espaces en trop ne comptent pas, et l'algorithme est reconnu à la longueur : MD5, SHA-1, SHA-384 ou SHA-512 sont activés quand la somme de contrôle l'exige.
- Lisez le verdict. Correspond signifie que votre copie est, octet pour octet, le fichier à partir duquel la somme de contrôle a été calculée. Ne correspond pas signifie un fichier différent ou endommagé : ne l'ouvrez pas et téléchargez-le à nouveau depuis la source officielle.
- Plusieurs fichiers ? Ajoutez-les tous, ou ouvrez le fichier
SHA256SUMSfourni avec eux : chaque fichier est comparé à sa propre ligne. Téléchargez les résultats en CSV ou copiez-les sous forme de liste de sommes de contrôle.
Les limites
Ce qu'une somme de contrôle prouve, et ce qu'elle ne prouve pas
Le principe. Les mêmes octets donnent toujours le même hash. Changez un seul bit, ou perdez les derniers kilo-octets d'un téléchargement, et le hash est complètement différent. Comparer le SHA-256 de votre fichier à celui publié vous dit si votre copie est complète et inchangée.
Ce qu'elle ne prouve pas. Un hash qui correspond ne dit pas qui a créé le fichier ni qu'il est sûr. Quelqu'un capable de remplacer le fichier sur un site peut aussi remplacer la somme de contrôle à côté. Prenez la somme de contrôle à la source officielle, en HTTPS, et si l'éditeur propose une signature (par exemple GPG), vérifiez-la aussi.
Pourquoi MD5 et SHA-1 ne servent qu'aux anciennes sommes de contrôle. On peut fabriquer exprès deux fichiers différents avec le même MD5 ou SHA-1. Ils détectent toujours les dommages accidentels, ils restent donc disponibles pour comparer des sommes de contrôle publiées ainsi, mais utilisez SHA-256 pour tout ce qui est nouveau.
Quel outil ?
Fichiers, photos et images ressemblantes
Utilisez cet outil pour n'importe quel fichier, surtout les téléchargements et les gros fichiers. Le Vérificateur d'empreinte d'image fait le même contrôle des octets exacts pour les photos, par exemple pour savoir lesquelles de plusieurs images sont identiques. Aucun des deux ne peut dire si deux images se ressemblent : une photo réenregistrée a un hash complètement différent. Pour les photos ressemblantes, le Détecteur d'images en double compare l'apparence des images.
FAQ
Questions sur le hash de fichier.
Qu'est-ce que le hash ou la somme de contrôle d'un fichier ?
Une empreinte de longueur fixe calculée à partir de chaque octet d'un fichier, comme un SHA-256 de 64 caractères. Le même fichier donne toujours le même hash, et toute modification en donne un complètement différent. Les éditeurs la publient à côté d'un téléchargement pour que vous puissiez vérifier que votre copie est complète et inchangée.
Comment vérifier une somme de contrôle SHA-256 ?
Choisissez le fichier téléchargé, puis collez le SHA-256 de la page de l'éditeur dans Somme de contrôle attendue. L'outil affiche Correspond ou Ne correspond pas. En ligne de commande, la même valeur s'obtient avec sha256sum sous Linux, shasum -a 256 sous macOS et certutil -hashfile <fichier> SHA256 sous Windows.
La somme de contrôle ne correspond pas. Que faire ?
Vérifiez d'abord qu'elle concerne exactement ce fichier et cette version et qu'elle utilise le même algorithme : un SHA-256 ne peut pas correspondre à un MD5, et les installateurs pour différents systèmes ont des sommes de contrôle différentes. Si c'est la bonne, le téléchargement est incomplet, endommagé ou n'est pas le fichier d'origine. Supprimez-le, ne l'ouvrez pas et téléchargez-le à nouveau depuis la source officielle.
Une somme de contrôle qui correspond prouve-t-elle qu'un fichier est sûr ou authentique ?
Non. Elle prouve que votre fichier est identique au fichier à partir duquel la somme de contrôle a été calculée. Si celle-ci vient d'une page peu fiable, ou si le site de l'éditeur a été compromis, les deux ont pu être remplacés. Prenez la somme de contrôle à la source officielle et, quand une signature numérique est proposée, vérifiez-la aussi.
Pourquoi MD5 et SHA-1 sont-ils déconseillés ?
Les deux sont cassés pour la sécurité : on peut fabriquer exprès des fichiers différents avec le même MD5 ou SHA-1. Ils détectent toujours les dommages accidentels, l'outil peut donc les calculer pour comparer avec d'anciennes sommes de contrôle publiées, mais il ne les active pas par défaut. Utilisez SHA-256 pour les nouvelles sommes de contrôle.
Quel algorithme choisir ?
Celui de l'éditeur : collez sa somme de contrôle et l'outil l'active pour vous. Si vous choisissez vous-même, SHA-256 est la norme. SHA-384 et SHA-512 conviennent tout autant et figurent sur certaines pages de téléchargement et dans certaines signatures.
Y a-t-il une limite de taille ?
Il n'y a pas de limite fixe. Les fichiers sont lus par morceaux de 8 Mo, la mémoire utilisée reste donc faible, et les fichiers jusqu'à 128 Mo utilisent le code SHA intégré au navigateur pour aller plus vite. L'outil a été testé avec un fichier de 4 Go. La vitesse dépend de votre appareil : sur l'ordinateur portable de test, SHA-256 a traité environ 50 Mo/s, soit environ 80 secondes pour un fichier de 4 Go. Les téléphones sont plus lents, et chaque algorithme supplémentaire prend du temps.
Puis-je vérifier si deux fichiers sont identiques ?
Oui. Ajoutez les deux : l'outil indique s'ils sont identiques, octet pour octet, car des fichiers identiques ont le même SHA-256. Les noms, dates et dossiers ne font pas partie du contenu, une copie renommée reste donc identique.
Mes fichiers sont-ils envoyés ?
Non. Les fichiers sont lus et hachés dans votre navigateur, dans un worker en arrière-plan. Fichiers, noms de fichiers, sommes de contrôle et listes ne sont envoyés nulle part, y compris aux outils d'analyse.