Vérifier qu’un fichier n’a pas changé grâce à son empreinte
Publié le · Mis à jour le 2 min de lecture
Une empreinte est un résumé très court d’un fichier, calculé à partir de tout son contenu. Elle sert à répondre à une question précise : ce fichier que je viens de télécharger ou de recevoir est-il exactement celui que son auteur a publié ? Si un seul octet a changé, par accident pendant le téléchargement ou par une modification volontaire, l’empreinte change complètement.
Ce que fait l’outil
Il calcule l’empreinte SHA-1, SHA-256 ou SHA-512 d’un texte ou d’un fichier, ou les trois à la fois. Le fichier peut aller jusqu’à 64 Mo, et le calcul se fait sur votre appareil, sans envoi. SHA-256 est le choix le plus courant aujourd’hui. SHA-1 reste utile pour comparer avec d’anciennes publications, mais il n’est plus recommandé pour la sécurité.
Un octet de différence
La force de l’empreinte tient à sa sensibilité. Sur un enregistrement audio, changer un seul bit de la copie suffit à transformer complètement l’empreinte : les deux valeurs ne se ressemblent plus du tout. On ne peut donc pas deviner si deux fichiers sont proches en regardant leurs empreintes : elles sont soit identiques, soit sans rapport.
Comparer à la référence
Les éditeurs sérieux publient l’empreinte de leurs fichiers à côté du lien de téléchargement. Calculez celle de votre copie, puis comparez-la à celle de la page. Si elles sont identiques, le fichier est le même. Vérifiez les premiers et les derniers caractères pour aller vite, puis l’empreinte entière pour être sûr.
Ce que l’empreinte ne dit pas
Une empreinte identique prouve que votre fichier est identique à celui qui a servi à la calculer. Elle ne prouve pas que ce fichier est sûr ou qu’il ne contient rien de dangereux. Et elle ne vaut que si l’empreinte de référence vient d’une source de confiance : une empreinte copiée sur le même site douteux que le fichier ne garantit rien.
Aller plus loin
Pour comprendre la différence avec Base64 et l’encodage d’adresse, voyez Base64, empreinte et adresse encodée.
Dans quels cas vérifier une empreinte
Après le téléchargement d’un logiciel, d’une image disque ou d’un document important, quand l’éditeur publie l’empreinte à côté du lien. Elle sert aussi à savoir si deux fichiers sont identiques sans les ouvrir.
Questions fréquentes
- Quelle empreinte choisir, SHA-1, SHA-256 ou SHA-512 ?
- SHA-256 est le choix le plus courant aujourd’hui. SHA-1 sert à comparer avec d’anciennes publications mais n’est plus recommandé pour la sécurité. SHA-512 donne une empreinte plus longue.
- Une empreinte identique garantit-elle que le fichier est sûr ?
- Non. Elle prouve que le fichier est le même que celui qui a servi à la calculer. Elle ne vaut que si l’empreinte de référence vient d’une source de confiance.
- Mon fichier est-il envoyé pour calculer l’empreinte ?
- Non, le calcul se fait sur votre appareil, pour un fichier jusqu’à 64 Mo.
- Pourquoi mes deux empreintes ne se ressemblent-elles pas du tout ?
- Un seul octet de différence suffit à changer complètement l’empreinte. Si elles diffèrent, les fichiers ne sont pas identiques.