L'atelier · Empreinte d'un fichier
Comment ça marche : Empreinte d'un fichier
Déposez n'importe quel fichier : son empreinte s'affiche. Collez celle que le site de téléchargement annonce, et l'outil vous dit si les deux sont identiques, caractère par caractère.
Une empreinte, c'est une suite de soixante-quatre caractères calculée à partir du contenu d'un fichier. Changez un seul octet dans le fichier, et l'empreinte change du tout au tout. C'est ce qui permet de répondre à une question précise : le fichier que j'ai reçu est-il exactement celui qu'on a voulu m'envoyer ?
Les projets sérieux publient l'empreinte de leurs fichiers à côté du lien de téléchargement, précisément pour que vous puissiez vérifier. Un fichier abîmé en route, un téléchargement interrompu, un miroir qui a servi une vieille version, ou un fichier remplacé par quelqu'un : les quatre se voient à l'empreinte.
Ce que l'empreinte NE dit PAS : elle ne dit pas que le fichier est sain. Si vous prenez l'empreinte sur la même page que le fichier, et que cette page a été truquée, les deux concordent et vous n'avez rien vérifié. L'empreinte prouve la fidélité du transport, pas l'honnêteté de la source.
Comment ça marche
- Déposez votre fichier sur la zone de dépôt, ou choisissez-le. N'importe quel type de fichier convient : l'outil lit des octets, il ne cherche pas à comprendre le contenu.
- L'empreinte SHA-256 s'affiche tout de suite. Le bouton la copie dans le presse-papiers.
- Pour vérifier : collez l'empreinte annoncée par la source dans le champ, et cliquez sur « Comparer ». L'outil dit si les deux sont identiques, et pointe où elles diffèrent.
Formats acceptés
Cet outil ne regarde pas le contenu de votre fichier : il en lit les octets et les hache. Il n'y a donc aucune liste de formats, et il n'y a rien qui puisse mal se passer à cause d'un format.
N'importe quel fichier
Une image, une archive, un installeur, un document, une vidéo, un fichier que vous ne reconnaissez pas : tout se hache de la même façon. Les quatre fonctions proposées sont celles que le navigateur fournit lui-même, sans aucune bibliothèque.
Ses limites
500 Mo par fichier
Le navigateur n'offre AUCUN hachage progressif : il faut lui remettre le fichier entier en une fois, en mémoire, dans un seul bloc contigu. C'est une limite de l'interface de chiffrement du web, vérifiée, pas un choix de notre part. Au-delà, l'allocation échoue et l'onglet meurt.
MD5 n'est pas proposé
Le navigateur ne sait pas calculer un MD5 : cette fonction est absente de son interface de chiffrement, et il faudrait embarquer une bibliothèque pour l'ajouter. C'est aussi une fonction cassée depuis vingt ans pour tout usage de sécurité. Si une source ne publie qu'un MD5, prenez cela comme un signe sur la source.
SHA-1 est proposé, mais signalé comme cassé
Il est encore publié par de vieux projets, et il faut donc pouvoir le comparer. Mais on sait fabriquer deux fichiers différents avec le même SHA-1 : il ne prouve plus rien contre quelqu'un de malveillant. Il reste utile contre une simple erreur de transport.
Une empreinte qui concorde ne prouve pas que le fichier est sain
Elle prouve que le fichier reçu est identique à celui dont on vous a donné l'empreinte. Si l'empreinte vient de la même page que le fichier et que cette page est truquée, la vérification est vide. La bonne pratique est de prendre l'empreinte à une source indépendante du fichier.
Questions sur cet outil
Est-ce que mon fichier est envoyé quelque part ?
Non, et vous n'avez pas à nous croire. Ouvrez l'inspecteur de votre navigateur avec la touche F12, allez sur l'onglet « Réseau », videz la liste, puis déposez votre fichier. Aucune ligne n'apparaît. Vous pouvez aussi couper votre connexion : l'outil continue de fonctionner. C'est particulièrement important ici : on calcule souvent l'empreinte d'un fichier justement parce qu'on ne lui fait pas confiance.
À quoi sert vraiment une empreinte ?
À répondre à une seule question : ce fichier est-il identique, octet pour octet, à celui dont on m'a donné l'empreinte ? Un téléchargement interrompu, un disque qui s'abîme, un miroir qui sert une vieille version, un fichier remplacé en route : tout cela change l'empreinte. Elle ne dit rien du contenu, ni de la qualité, ni de la sécurité du fichier.
Pourquoi ne proposez-vous pas MD5 ?
Parce que le navigateur ne sait pas le calculer : MD5 est absent de l'interface de chiffrement du web, et l'ajouter voudrait dire embarquer une bibliothèque. C'est surtout une fonction cassée depuis les années 2000 : fabriquer deux fichiers différents avec le même MD5 est à la portée d'un ordinateur ordinaire. Une source qui ne publie qu'un MD5 vous en dit long sur son sérieux.
Pourquoi une limite de 500 Mo ?
Parce que l'interface de chiffrement du navigateur n'offre aucun hachage progressif : il n'existe pas de fonction pour lui donner un fichier morceau par morceau. Il faut lui remettre le fichier entier, d'un coup, dans un seul bloc de mémoire. Au-delà d'un certain point, l'allocation échoue et l'onglet meurt. Pour hacher un fichier de plusieurs gigaoctets, un outil installé sur la machine reste le bon choix, et la commande existe déjà sur les trois systèmes.
L'empreinte est identique. Le fichier est-il sûr ?
Non, et c'est la confusion la plus répandue. Une empreinte identique prouve que le fichier n'a pas changé entre le moment où l'empreinte a été publiée et maintenant. Si la page qui publie l'empreinte a été truquée en même temps que le fichier, les deux concordent parfaitement et vous n'avez rien vérifié. C'est pour cela qu'on cherche l'empreinte ailleurs que sur la page du téléchargement quand c'est possible.
Deux fichiers différents peuvent-ils avoir la même empreinte SHA-256 ?
En théorie oui, parce qu'il y a plus de fichiers possibles que d'empreintes possibles. En pratique, personne n'a jamais réussi à en fabriquer deux, et personne ne s'y attend avant longtemps. Pour SHA-1, en revanche, c'est fait depuis 2017, et c'est pour cela que l'outil vous prévient quand vous le choisissez.
Mon empreinte est en majuscules et la vôtre en minuscules.
C'est la même. Une empreinte s'écrit en hexadécimal, et la casse n'a aucune signification. L'outil compare en ignorant la casse, les espaces, les retours à la ligne et un éventuel nom de fichier collé à la suite, comme dans les fichiers de sommes de contrôle qu'on trouve à côté des téléchargements.
Déposez n'importe quel fichier : son empreinte s'affiche. Collez celle que le site de téléchargement annonce, et l'outil vous dit si les deux sont identiques, caractère par caractère.
VérifierLa preuve, pas à pasLa vérification par l'inspecteur réseau, expliquée geste par geste, captures à l'appui.
Le coinLe coin sécuritéChiffrer un fichier, fabriquer une phrase de passe solide, vérifier qu'un téléchargement n'a pas été touché, retirer les mouchards d'un lien.