Votre téléchargement est-il corrompu ou modifié ? Le contrôle SHA-256

Vous venez de télécharger un programme d'installation ou une image système. Juste à côté du lien se trouve une suite de 64 lettres et chiffres qui ne veut rien dire à première vue, précédée de la mention SHA-256. L'installation s'est peut-être arrêtée en route avec une erreur, ou bien vous avez pris le fichier sur un site miroir plutôt que sur le site officiel et vous avez un doute. Cette suite est publiée exactement pour ce moment-là : en deux minutes, elle vous dit si le fichier sur votre disque est, octet pour octet, celui que l'éditeur a préparé.

Ce guide explique ce que signifie cette valeur, comment obtenir celle de votre propre fichier dans le navigateur, sous Windows et sur Mac, et ce qu'il faut vérifier, dans l'ordre, quand les deux valeurs ne concordent pas. Tout peut se faire sans ouvrir de ligne de commande ; pour ceux qui aiment les commandes, elles sont aussi plus bas.

Que vous dit cette longue suite de caractères ?

Une fois le fichier prêt, l'éditeur calcule son empreinte (on dit aussi hash ou somme de contrôle) et l'affiche sur la page. L'empreinte est une sorte d'identifiant de longueur fixe tiré de chaque octet du fichier : une image disque de 4 Go comme un document de 200 Ko donnent, avec SHA-256, une valeur de 64 caractères. Vous faites le même calcul sur votre copie. Si les deux valeurs sont identiques caractère par caractère, votre fichier est celui de l'éditeur ; si un seul caractère diffère, ce n'est pas le cas.

Ce n'est donc ni un mot de passe ni une clé de licence, et vous n'avez à la saisir nulle part pendant l'installation : elle sert uniquement à comparer. Son emplacement varie d'un site à l'autre : à côté du lien sous un titre comme « SHA-256 », « Checksum » ou « Somme de contrôle », ou bien dans un fichier texte séparé appelé SHA256SUMS. Les distributions Linux et les logiciels libres choisissent souvent cette deuxième formule ; ouvrez ce fichier avec le Bloc-notes et vous verrez sur chaque ligne une empreinte suivie d'un nom de fichier.

Vérifier dans le navigateur, sans taper de commande

Ouvrez l'outil de somme de contrôle, puis déposez le fichier téléchargé dans la zone prévue ou cliquez dessus pour le choisir. Copiez la valeur de la page de téléchargement, collez-la dans le champ Somme attendue et cliquez sur Calculer la somme. La ligne du fichier affiche alors l'un des deux verdicts : identique à l'empreinte attendue, ou ne correspond PAS. Inutile de comparer 64 caractères à l'œil nu.

Ne vous souciez pas de la façon dont vous avez copié la valeur. L'outil ignore les majuscules, les minuscules et les espaces, et retire un préfixe du type « sha256: ». Vous pouvez même coller une ligne entière d'un fichier SHA256SUMS, nom de fichier compris : il en extrait l'empreinte tout seul. Si vous avez choisi le mauvais algorithme dans la liste, il reconnaît l'algorithme d'après la longueur de la valeur collée et compare avec celui-là.

La seule limite à connaître est la taille : le fichier est lu dans la mémoire du navigateur, l'outil accepte donc jusqu'à 1 Go par fichier. Pour les images disque plus lourdes, utilisez les commandes de la section suivante. Le calcul se fait entièrement sur votre ordinateur ; le fichier n'est envoyé à aucun serveur.

Sous Windows et sur Mac, en une commande

Rien à installer : les deux systèmes disposent déjà de ce qu'il faut. Sous Windows, ouvrez le dossier qui contient le fichier dans l'Explorateur de fichiers (souvent Téléchargements), cliquez dans la barre d'adresse en haut, tapez cmd et appuyez sur Entrée : l'Invite de commandes s'ouvre directement dans ce dossier. Sur Mac, le Terminal se trouve dans Applications > Utilitaires, ou bien appuyez sur Commande + Espace et tapez « Terminal » dans Spotlight.

• Si le nom du fichier contient des espaces, mettez-le entre guillemets : "Nouvelle version.exe"
• PowerShell écrit la valeur en majuscules alors que la page l'affiche peut-être en minuscules : c'est la même valeur
• Si vous comparez à l'œil, ne vous arrêtez pas aux premiers et derniers caractères ; sélectionnez la valeur, copiez-la avec Ctrl+C et placez-la sous la valeur publiée dans un document texte

Les valeurs ne concordent pas : quoi vérifier, dans l'ordre

Une différence vient le plus souvent d'un incident banal, pas d'une attaque. Avant de supprimer quoi que ce soit, passez ces quatre points en revue ; les trois premiers prennent quelques secondes.

• Même algorithme ? 64 caractères correspondent à SHA-256, 128 à SHA-512, 40 à SHA-1 et 32 à MD5 ; vous en avez peut-être calculé un autre
• Bonne ligne ? Les pages de téléchargement listent séparément les versions 32 bits, 64 bits, ARM et les anciennes versions, chacune avec sa propre empreinte
• Téléchargement terminé ? Comparez la taille du fichier avec celle indiquée sur la page ; un nom qui finit par .crdownload ou .part signale un téléchargement interrompu
• Si tout est en ordre, n'ouvrez pas le fichier : supprimez-le et retéléchargez-le, de préférence depuis le site de l'éditeur ; si la deuxième copie échoue aussi, ne l'installez pas

Quand la page ne donne que MD5 ou SHA-1

Certains sites anciens ne publient encore que MD5 ou SHA-1. Vérifier ces valeurs reste utile : elles détectent de manière fiable un fichier tronqué ou abîmé pendant une copie, car un accident qui produirait par hasard la même empreinte est en pratique impossible.

Ce qu'elles ne détectent pas, c'est un faux fabriqué exprès. Des chercheurs ont montré en 2004 pour MD5, puis en 2017 pour SHA-1, qu'on peut construire volontairement deux fichiers différents ayant la même empreinte ; pour SHA-1, ils ont publié deux PDF différents partageant la même valeur. Quelqu'un qui modifie un fichier peut donc s'arranger pour que l'ancienne empreinte corresponde encore. Si la page propose plusieurs valeurs, prenez la plus longue, et au minimum SHA-256.

Ce qu'une correspondance prouve, et ce qu'elle ne prouve pas

Une correspondance prouve que votre fichier est le même que celui de la personne qui a publié la valeur. Elle ne prouve pas que le fichier est inoffensif : si l'éditeur a lui-même mis en ligne quelque chose de malveillant, l'empreinte est celle de ce fichier-là. Avant de regarder l'empreinte, regardez donc d'où vient le fichier.

La provenance de la valeur compte aussi. Si vous avez récupéré le fichier sur un miroir, un forum ou un site de partage, copiez l'empreinte sur la page officielle de l'éditeur. Une valeur affichée juste à côté du fichier peut avoir été changée par la personne qui a modifié le fichier. C'est pourquoi les grands projets signent aussi numériquement leurs listes d'empreintes ; les fichiers en .sig, .asc ou .gpg sur la page de téléchargement sont ces signatures. Vérifier une signature demande un programme à part comme GnuPG, ce que l'outil de somme de contrôle ne fait pas ; au quotidien, une correspondance SHA-256 avec la page officielle reste un contrôle solide dans la plupart des cas.

Si c'est vous qui envoyez le fichier

La méthode marche aussi dans l'autre sens. Avant d'envoyer à quelqu'un une grosse archive, un projet de contrat ou une sauvegarde, calculez son empreinte SHA-256 avec l'outil et téléchargez le petit fichier de somme qu'il propose. Ce fichier texte contient l'empreinte et le nom du fichier dans la disposition que la commande sha256sum de Linux sait lire.

Faites passer l'empreinte par un autre chemin que le fichier lui-même : si le fichier est parti sous forme de lien de partage, écrivez la valeur dans un message, par exemple sur WhatsApp. Quand le destinataire calcule l'empreinte de sa copie et la compare à la vôtre, vous savez tous les deux que le fichier n'a été ni abîmé en route ni modifié par un tiers.

Questions fréquentes

La page affiche la valeur en majuscules et la mienne est en minuscules. Est-ce un problème ?

Non. Une empreinte s'écrit en hexadécimal, où a et A désignent le même chiffre. PowerShell affiche des majuscules, alors que certutil, macOS et Linux affichent des minuscules ; ignorez la casse en comparant.

Renommer le fichier change-t-il son empreinte ?

Non. L'empreinte est calculée uniquement à partir du contenu ; le nom, le dossier et les dates n'entrent pas en compte. Même si le navigateur a enregistré le fichier sous « setup (1).exe », l'empreinte correspondra à la valeur publiée.

La page de téléchargement ne publie aucune empreinte. Que faire ?

Impossible alors de comparer avec l'éditeur, mais vous pouvez tester le téléchargement lui-même : téléchargez le fichier deux fois, à des moments différents, et calculez les deux empreintes ensemble dans l'outil. Si elles sont identiques, rien ne s'est au moins abîmé pendant le transfert.

L'empreinte correspond mais mon antivirus donne l'alerte. Qui croire ?

Les deux répondent à des questions différentes. La correspondance indique que le fichier est celui de l'éditeur ; l'antivirus juge si le contenu paraît dangereux. Si vous ne faites pas confiance à l'éditeur, une correspondance ne vous protège pas. Dans le doute, n'exécutez pas le fichier et consultez la page d'assistance de l'éditeur.

Puis-je vérifier un fichier téléchargé sur mon téléphone ?

Oui. L'outil s'ouvre aussi dans le navigateur du téléphone ; touchez la zone et choisissez le fichier dans Téléchargements ou dans l'application Fichiers. Pour les très gros fichiers, la mémoire du téléphone peut ne pas suffire ; faites alors le contrôle sur un ordinateur.

Dernière mise à jour : 12 octobre 2026