Vérifier la somme de contrôle d'un fichier

Comment ça marche

Touchez ou cliquez la zone pour choisir vos fichiers, puis pressez Calculer la somme ; chaque fichier reçoit sa ligne avec la somme de l'algorithme choisi. Le scénario type : la page de téléchargement d'un logiciel publie une valeur SHA-256 de 64 caractères à côté du fichier. Collez cette valeur dans le champ Somme attendue — l'outil la compare à ce qu'il a calculé et écrit clairement dans la ligne du fichier s'il est vérifié ou s'il ne correspond pas. Les majuscules et les espaces parasites sont ignorés, vous pouvez donc coller la valeur telle quelle depuis la page web. Tout est calculé dans votre navigateur et le fichier ne quitte pas votre appareil — c'est aussi l'origine de la limite de 1 Go par fichier, puisque les octets doivent être lus en mémoire. Quand un seul algorithme est sélectionné, le bouton de téléchargement fournit un fichier texte au format sha256sum (« somme, deux espaces, nom du fichier »), vérifiable en ligne de commande avec sha256sum -c ; avec « Les trois à la fois », les trois sommes sont réunies dans un seul fichier. Vous pouvez sélectionner plusieurs fichiers à la fois, chacun est traité séparément.

Cet outil est aussi connu sous le nom de checksum sha256 fichier, hash d'un fichier, sha256sum en ligne.

Qu'est-ce que Somme de contrôle (checksum) ?

La somme de contrôle est une empreinte de longueur fixe calculée mathématiquement à partir de tous les octets d'un fichier ; on parle aussi de hash ou de condensat. Que le fichier pèse deux kilooctets ou vingt gigaoctets, la somme garde la même longueur, et le même fichier produit la même somme à chaque calcul. Un seul bit modifié change la somme du tout au tout. Comparer deux sommes donne donc la même réponse que comparer deux fichiers octet par octet, en beaucoup plus rapide — et sans avoir besoin des deux copies au même endroit : c'est le principe de la vérification d'un téléchargement.

Qu'est-ce que SHA-256 ?

SHA-256 est le membre 256 bits de la famille SHA-2 publiée par le NIST, l'organisme de normalisation américain, et il est aujourd'hui le standard de fait pour vérifier l'intégrité des fichiers. Sa sortie compte 64 caractères hexadécimaux. Aucune méthode pratique connue ne permet de produire deux fichiers différents avec la même valeur SHA-256 ; c'est pourquoi les distributions de logiciels, les images de systèmes d'exploitation et les archives de sauvegarde publient leurs sommes sous cette forme — une distribution Linux affiche par exemple une ligne SHA-256 à côté de chaque image disque proposée.

Quelle est la différence entre MD5 et SHA-256 ?

Les deux réduisent un fichier à une valeur de longueur fixe ; la différence tient dans la marge de sécurité. MD5 date de 1992, sa sortie de 128 bits fait 32 caractères, et deux fichiers différents portant le même MD5 peuvent aujourd'hui être fabriqués volontairement — il ne sert donc qu'à détecter une corruption accidentelle. SHA-256 produit une valeur de 256 bits sur 64 caractères et n'a pas d'attaque par collision praticable connue ; c'est le bon choix partout où il faut démontrer qu'un contenu n'a pas été altéré. Vérifier une valeur MD5 publiée par une source ancienne reste valable ; pour les sommes que vous publiez vous-même, utilisez SHA-256.

MD5 et SHA-1 attrapent les accidents, pas les attaquants

Des collisions ont été démontrées pour les deux il y a des années : deux fichiers différents portant la même somme MD5 ou SHA-1 peuvent être fabriqués volontairement. Quelqu'un qui altère un téléchargement et republie la somme d'origine ne sera donc pas trahi par une correspondance MD5. SHA-256 n'a pas de collision pratique connue ; c'est pour cela que les éditeurs ont migré vers lui.

Les deux anciens ne sont pas inutiles pour autant : ils détectent toujours de façon fiable les dégâts accidentels — un téléchargement interrompu, une copie ratée, une archive abîmée. Vérifier une valeur MD5 publiée par un vieux système reste raisonnable ; publier une nouvelle somme en MD5 ne l'est pas.

Quel algorithme choisir ?

Suivez ce qui a été publié : utilisez l'algorithme choisi par l'autre côté. En cas de doute, la longueur vous renseigne — 32 caractères pour MD5, 40 pour SHA-1, 64 pour SHA-256. Collez la valeur dans le champ Somme attendue avec « Les trois à la fois » sélectionné : l'outil détermine lui-même avec quel algorithme elle correspond et l'indique.

Pour une somme que vous créez vous-même — archiver un fichier afin de prouver plus tard qu'il n'a pas bougé, ou permettre à un destinataire de vérifier qu'un envoi est arrivé entier — choisissez SHA-256. L'option « Les trois à la fois » sert à rapprocher d'anciens relevés et de nouveaux en un seul passage.

Questions fréquentes

Comment vérifier le SHA-256 d'un fichier téléchargé ?

Choisissez le fichier, laissez l'algorithme sur SHA-256 et pressez Calculer la somme. La valeur de 64 caractères apparaît dans la ligne du fichier ; collez la valeur publiée par le site dans le champ Somme attendue et l'outil vous dit si elles correspondent. Le fichier n'est téléversé nulle part.

Peut-on reconstruire mon fichier à partir de sa somme ?

Non. Le calcul ne va que dans un sens : le fichier produit la somme, mais la somme ne peut pas reconstruire le fichier. Partager une somme de contrôle ne revient donc pas à partager le contenu — elle permet seulement de prouver qu'une copie est identique octet pour octet.

La somme ne correspond pas : que faire ?

Comptez d'abord les caractères : 32 indique MD5, 40 SHA-1, 64 SHA-256 — l'éditeur a peut-être publié avec un autre algorithme. Si l'algorithme est le bon, le fichier a pu être corrompu pendant le téléchargement ou modifié ; retéléchargez-le et refaites le contrôle.

Comment savoir si deux fichiers sont identiques ?

Sélectionnez les deux et calculez leurs sommes ensemble. Des sommes identiques signifient un contenu identique octet pour octet, quels que soient les noms ou les dates des fichiers. Un seul caractère d'écart signifie un contenu différent.

Sous quelle forme puis-je coller la somme publiée ?

Collez-la telle qu'elle est publiée. Les majuscules, les espaces et les préfixes comme « sha256: » sont ignorés ; une ligne sha256sum (« somme fichier.iso ») ou une ligne de style BSD (« SHA512 (fichier.iso) = somme ») est aussi reconnue. La longueur trahit l'algorithme (32 caractères MD5, 40 SHA-1, 64 SHA-256, 96 SHA-384, 128 SHA-512) : même si un autre algorithme est choisi dans la liste, l'outil calcule aussi celui-là et compare avec la bonne empreinte.