Comment vérifier la somme de contrôle d'un fichier (SHA-256 et MD5)
Les sites de logiciels publient souvent une longue suite de lettres et de chiffres à côté du bouton de téléchargement. C'est une somme de contrôle, et la comparer prend moins d'une minute. Voici comment faire sur n'importe quel ordinateur, et ce contre quoi cela vous protège vraiment.
Réponse rapide
Calculez l'empreinte (hash) du fichier et comparez-la à celle publiée par le développeur. Dans votre navigateur, déposez le fichier dans un générateur de hash et collez la somme attendue. Sous Windows, lancez Get-FileHash fichier.zip dans PowerShell. Sur Mac, lancez shasum -a 256 fichier.zip. Sous Linux, lancez sha256sum fichier.zip. Si les valeurs sont strictement identiques, le fichier est intact.
Qu'est-ce qu'une somme de contrôle ?
Une somme de contrôle (ou hash, ou empreinte) est une courte signature calculée à partir du contenu d'un fichier. Le même fichier donne toujours le même hash, mais modifier un seul bit en produit un complètement différent. En comparant votre hash à celui du développeur, vous confirmez que le fichier téléchargé est identique octet pour octet à l'original.
Pourquoi vérifier les téléchargements ?
- La corruption. Un téléchargement interrompu ou un support de stockage défaillant peuvent endommager un fichier, d'où des installations ratées ou des images disque inutilisables.
- La falsification. Si un miroir ou un site de téléchargement a été compromis, le fichier peut contenir un logiciel malveillant. Une somme qui ne correspond pas est un signal d'alerte.
- Les gros fichiers. Les images de systèmes d'exploitation (ISO), les firmwares et les sauvegardes méritent d'être vérifiés avant de les flasher ou de les restaurer.
Important : une somme de contrôle n'est utile que si vous l'obtenez d'une source fiable, idéalement le site officiel du développeur en HTTPS. Si des attaquants contrôlent la page de téléchargement, ils peuvent modifier à la fois le fichier et la somme. Pour les logiciels sensibles, les développeurs publient aussi des signatures numériques (par exemple GPG) qui prouvent qui a créé le fichier.
Méthode 1 : dans votre navigateur (tout système)
- Ouvrez le générateur de hash gratuit et passez à l'onglet Fichier.
- Déposez le fichier téléchargé. MD5, SHA-1, SHA-256, SHA-384 et SHA-512 sont calculés ensemble.
- Collez la somme publiée dans le champ de vérification.
- Si elle correspond, l'algorithme concerné est mis en évidence.
Le fichier est haché localement avec le moteur Web Crypto de votre navigateur. Il n'est pas envoyé, ce qui permet aussi de traiter de gros fichiers sans attendre un envoi.
Essai gratuit : Générateur de hash
Générez des hash MD5, SHA-1 et SHA-256 pour du texte et des fichiers. Fonctionne dans votre navigateur, sans inscription.
Méthode 2 : Windows (PowerShell ou invite de commandes)
Ouvrez PowerShell dans le dossier du fichier et lancez :
Get-FileHash .\fichier.zip -Algorithm SHA256Remplacez SHA256 par MD5, SHA1 ou SHA512 selon le besoin. Dans l'invite de commandes, utilisez :
certutil -hashfile fichier.zip SHA256Pour comparer automatiquement dans PowerShell :
(Get-FileHash .\fichier.zip).Hash -eq "COLLEZ_LE_HASH_ATTENDU_ICI"La commande affiche True si les valeurs correspondent. La comparaison ne tient pas compte de la casse.
Méthode 3 : macOS (Terminal)
shasum -a 256 fichier.zip
md5 fichier.zipMéthode 4 : Linux
sha256sum fichier.zip
md5sum fichier.zipSi le développeur fournit un fichier de sommes (souvent nommé SHA256SUMS), placez-le dans le même dossier et lancez sha256sum -c SHA256SUMS pour tout vérifier d'un coup.
MD5, SHA-1 ou SHA-256
| Algorithme | Longueur du hash | Sécurité | À utiliser pour |
|---|---|---|---|
| MD5 | 128 bits (32 caractères hexadécimaux) | Cassé : les collisions sont faciles à créer | Détecter uniquement une corruption accidentelle |
| SHA-1 | 160 bits (40 hex) | Cassé : collisions pratiques démontrées en 2017 | Systèmes anciens uniquement |
| SHA-256 | 256 bits (64 hex) | Sûr | Téléchargements, signatures, le choix par défaut actuel |
| SHA-512 | 512 bits (128 hex) | Sûr | Quand on veut une marge plus grande |
« Cassé » signifie qu'un attaquant peut fabriquer deux fichiers différents ayant le même hash. Le MD5 détecte encore une corruption accidentelle, mais il ne protège pas d'une falsification volontaire. Préférez le SHA-256 dès que le développeur le propose.
Que faire si la somme ne correspond pas
- Vérifiez que vous comparez le même algorithme. Un hash SHA-256 (64 caractères) ne correspondra jamais à un hash MD5 (32 caractères).
- Vérifiez la version. Assurez-vous que la somme correspond exactement au fichier et à la version téléchargés.
- Téléchargez à nouveau depuis le site officiel, pas depuis un miroir.
- Toujours différent ? N'ouvrez pas et n'installez pas le fichier. Supprimez-le et contactez le développeur.
Questions fréquentes
Les majuscules et minuscules comptent-elles ?
Non. Un hash hexadécimal est le même en majuscules ou en minuscules. Notre outil vous permet de basculer pour correspondre au format publié.
Peut-on inverser un hash pour retrouver le fichier ?
Non. Les fonctions de hachage sont à sens unique. On peut seulement comparer des hash, pas retrouver le contenu d'origine.
Pourquoi deux fichiers différents ne semblent-ils jamais avoir le même hash ?
Avec des algorithmes sûrs comme le SHA-256, le nombre de hash possibles est si astronomique qu'une correspondance accidentelle est en pratique impossible.
Puis-je hacher du texte, pas seulement des fichiers ?
Oui. Utilisez l'onglet Texte pour hacher n'importe quelle chaîne. Les développeurs s'en servent pour des clés de cache, des ETags et des comparaisons de données.
En résumé
Vérifier une somme de contrôle prend une minute et vous protège des téléchargements corrompus ou falsifiés. Récupérez la somme sur le site officiel, privilégiez le SHA-256 et n'exécutez jamais un fichier dont le hash ne correspond pas.
Une information obsolète ou peu claire ? Écrivez à contact@ultratoolsai.com et nous la corrigerons.
