Générateur de hash
Tapez du texte ou choisissez un fichier : les cinq empreintes d'un coup.
- Entièrement gratuitSans compte, sans quota quotidien, sans offre payante.
- Rien n'est envoyéLes fichiers sont traités sur votre appareil et n'atteignent jamais un serveur.
- Aucune contrepartieSans filigrane, sans réduction imposée, sans limite de taille.
- Changements consignésChaque correction et chaque nouvel outil sont notés sur la page des nouveautés.
Ce que fait cet outil de hachage
Une fonction de hachage transforme n'importe quelle entrée — une phrase, un mot de passe, une image disque de 4 Go — en une empreinte de longueur fixe. Modifiez un seul bit de l'entrée et l'empreinte change du tout au tout, ce qui fait des hash le moyen standard de vérifier qu'un fichier est arrivé intact, de contrôler que deux documents sont identiques sans les comparer octet par octet, et de stocker des mots de passe sans stocker le mot de passe lui-même. Cette page calcule simultanément MD5, SHA-1, SHA-256, SHA-384 et SHA-512 pour tout ce que vous saisissez ou tout fichier que vous sélectionnez, et affiche les résultats en hexadécimal ou en Base64.
La famille SHA s'exécute via l'API Web Crypto du navigateur, la même implémentation que celle utilisée pour TLS : elle est donc rapide et correcte même sur de gros fichiers. MD5 n'est pas fourni par les navigateurs, aussi une implémentation de référence compacte de la RFC 1321 est-elle embarquée ; elle a été vérifiée avec les vecteurs de test standard. Les fichiers sont lus localement et ne sont jamais envoyés.
Comment l'utiliser
Saisissez ou collez du texte et les cinq hash se mettent à jour au fil de la frappe. Cliquez sur Fichier pour hacher un téléchargement, un installateur ou une sauvegarde ; le nom du fichier et le nombre d'octets apparaissent sous l'entrée. Activez Majuscules ou Base64 pour correspondre au format de votre source — sha256sum sous Linux affiche de l'hexadécimal en minuscules, de nombreuses API et les empreintes d'images Docker utilisent aussi l'hexadécimal en minuscules, tandis que les en-têtes Content-MD5 et les attributs Subresource Integrity utilisent le Base64. Pour vérifier un téléchargement, collez le checksum indiqué sur la page de l'éditeur dans la zone Vérifier : la ligne correspondante passe au vert et le statut indique s'il y a correspondance, quels que soient la casse et le format.
Activez HMAC et saisissez une clé secrète pour calculer des hash à clé (HMAC-SHA256 et compagnie), qui sont à la base des signatures de webhooks de Stripe, GitHub et Slack, d'AWS Signature v4 et de nombreux schémas d'authentification d'API. HMAC n'est pas proposé pour MD5 ici, car aucun système moderne ne devrait l'utiliser.
Quel algorithme choisir ?
SHA-256 est le choix par défaut en 2026 : il est présent dans la bibliothèque standard de tous les langages, produit une empreinte de 64 caractères hexadécimaux et ne connaît aucune attaque pratique. SHA-512 est plus rapide sur les processeurs 64 bits et sert lorsqu'on souhaite une empreinte plus longue. SHA-1 et MD5 sont cassés pour la résistance aux collisions — des chercheurs ont produit deux fichiers différents avec le même MD5 dès 2004 et le même SHA-1 dès 2017 (l'attaque SHAttered) — ils ne doivent donc pas être utilisés pour des signatures ou des certificats, mais restent acceptables pour des usages sans enjeu de sécurité comme la déduplication, les clés de cache et la vérification d'un téléchargement contre un checksum publié par le même site. Pour stocker des mots de passe, aucun d'entre eux ne convient seul : utilisez bcrypt, scrypt ou Argon2, qui sont volontairement lents.
Contexte : de MD5 à SHA-3
MD5 a été conçu par Ron Rivest au MIT en 1991 (RFC 1321) comme successeur plus rapide de MD4 et est devenu le checksum universel de l'internet des années 1990. SHA-1 a suivi en 1995, conçu par la NSA (FIPS 180-1), avec une sortie de 160 bits. À mesure que les attaques contre les deux mûrissaient, le NIST a publié la famille SHA-2 en 2001 — dont SHA-256 et SHA-512 — puis, après une compétition ouverte, a retenu Keccak comme SHA-3 en 2015 en tant que solution de repli structurellement différente. Les navigateurs ont exposé SHA-1, SHA-256, SHA-384 et SHA-512 via l'API Web Crypto standardisée par le W3C en 2017, ce qui rend possibles des outils comme celui-ci sans aucun serveur.
Où on l'utilise
Vérifier des images ISO, des installateurs et des firmwares contre le SHA-256 publié sur la page de téléchargement ; les identifiants de commits Git (SHA-1, en migration vers SHA-256) ; les empreintes d'images Docker et OCI (sha256:…) ; les fichiers de verrouillage des paquets et les hash Subresource Integrity en HTML ; la vérification des signatures de webhooks avec HMAC-SHA256 ; les ETags et clés de cache des CDN ; la déduplication de fichiers dans les outils de sauvegarde ; la preuve de travail de Bitcoin (double SHA-256) ; et les comparaisons rapides d'égalité entre deux gros exports. Quand une signature ou une empreinte arrive à l'intérieur d'un JWT ou d'une charge utile JSON, décodez d'abord le conteneur, puis vérifiez le hash ici.
Questions fréquentes
Mon fichier est-il envoyé sur un serveur ?
Non. Le fichier est lu par votre navigateur et haché localement avec l'API Web Crypto. Vous pouvez vous déconnecter d'internet, l'outil fonctionne toujours.
Pourquoi mon hash ne correspond-il pas au checksum de l'éditeur ?
Le plus souvent, le téléchargement est incomplet ou il s'agit d'une autre version du fichier, ou vous comparez de l'hexadécimal avec du Base64. La zone Vérifier accepte les deux formats et ignore la casse ; si cela échoue encore, retéléchargez le fichier.
Peut-on inverser un hash pour retrouver le texte d'origine ?
Non. Les hash sont à sens unique. Les entrées courtes ou courantes peuvent être retrouvées grâce à des tables de correspondance, c'est pourquoi les mots de passe ne doivent jamais être stockés sous forme de simple hash.
MD5 est-il encore sûr ?
Pour les checksums et la déduplication, oui. Pour tout ce qui touche à la sécurité — signatures, certificats, stockage de mots de passe — non ; utilisez SHA-256 ou mieux, et un hachage lent comme Argon2 pour les mots de passe.
Qu'est-ce que HMAC ?
Un hash combiné à une clé secrète, de sorte que seul le détenteur de la clé peut le produire ou le vérifier. C'est la méthode standard par laquelle les API signent leurs webhooks et leurs requêtes.