La méthode rapide
Une somme de contrôle est l'empreinte d'un fichier. Changez un seul bit et l'empreinte change complètement : deux valeurs identiques prouvent donc que les deux fichiers sont les mêmes octet pour octet. Les éditeurs d'images de systèmes d'exploitation, de firmwares, de gestionnaires de mots de passe, d'outils de développement et de pilotes publient des sommes de contrôle à côté de leurs téléchargements précisément pour cela.
Dans l'outil ci-dessous, choisissez le fichier ou déposez-le dans la zone. Il calcule MD5, SHA-1, SHA-256, SHA-384 et SHA-512 en une seule fois. Collez la valeur publiée dans Comparer avec et l'outil vous indique quel algorithme correspond, ou qu'aucun ne correspond. Les majuscules, les espaces et les préfixes comme sha256: sont ignorés. Le fichier est lu sur votre appareil et n'est jamais envoyé.
Essayez ici : Calcul de checksum de fichier
Ouvrir la page complète de l'outilQuel algorithme ? La longueur le dit
Les pages de téléchargement ne précisent pas toujours quel hash elles affichent. La longueur de la chaîne hexadécimale suffit à le savoir :
| Algorithme | Longueur en caractères hexadécimaux | Toujours sûr contre la falsification ? |
|---|---|---|
| MD5 | 32 | Non, on crée facilement des collisions |
| SHA-1 | 40 | Non, collisions pratiques démontrées en 2017 |
| SHA-256 | 64 | Oui, la norme actuelle |
| SHA-384 | 96 | Oui |
| SHA-512 | 128 | Oui |
Où trouver la somme de contrôle
La valeur se trouve généralement juste à côté ou sous le lien de téléchargement, avec une étiquette comme SHA256, Checksum, Somme de contrôle, Hash ou Vérifier votre téléchargement. Les distributions Linux publient un fichier texte séparé appelé SHA256SUMS, avec un hash et un nom de fichier par ligne. Les projets sur GitHub joignent souvent à la page de version un fichier checksums.txt, ou de petits fichiers portant le nom du téléchargement suivi de .sha256.
Les pages de firmwares et de pilotes ne donnent parfois qu'une valeur MD5, ce qui suffit pour repérer une corruption accidentelle. Si vous ne trouvez aucune somme de contrôle, regardez plutôt la signature numérique du fichier : sous Windows, faites un clic droit sur le fichier, choisissez Propriétés et ouvrez l'onglet Signatures numériques pour voir l'éditeur.
Vérifier une somme de contrôle sous Windows, Mac et Linux
Chaque grand système dispose d'une commande intégrée. Ouvrez un terminal dans le dossier du fichier et remplacez le nom du fichier par le vôtre.
- Windows PowerShell : Get-FileHash .\fichier.iso affiche le SHA-256 par défaut. Ajoutez -Algorithm MD5 ou -Algorithm SHA512 pour les autres hash. PowerShell compare les chaînes sans tenir compte de la casse, vous pouvez donc aussi taper (Get-FileHash .\fichier.iso).Hash -eq "valeur attendue" et obtenir True ou False.
- Invite de commandes Windows : certutil -hashfile fichier.iso SHA256. Remplacez SHA256 par MD5, SHA1 ou SHA512 selon le besoin.
- Terminal macOS : shasum -a 256 fichier.dmg pour SHA-256, shasum -a 512 pour SHA-512, et md5 fichier.dmg pour MD5.
- Linux : sha256sum fichier.iso, sha512sum ou md5sum. Si l'éditeur fournit un fichier SHA256SUMS, placez-le dans le même dossier et lancez sha256sum -c SHA256SUMS : chaque fichier listé affiche OK ou FAILED.
- N'importe quel système avec un navigateur : l'outil de cette page, pratique sur les ordinateurs professionnels verrouillés, les Chromebooks et les téléphones où vous ne pouvez pas ouvrir de terminal.
Ce qu'une correspondance prouve, et ce qu'elle ne prouve pas
Une correspondance prouve que votre fichier est identique à celui à partir duquel la somme de contrôle a été calculée. Cela détecte les problèmes les plus courants : un téléchargement interrompu, une clé USB ou une carte SD corrompue, un serveur miroir défaillant ou un proxy qui a modifié le fichier.
Elle ne prouve pas que le fichier est digne de confiance si un attaquant contrôle à la fois le fichier et la page qui affiche la somme. Quelqu'un qui pirate un serveur de téléchargement peut remplacer le fichier et le hash publié en même temps. C'est pourquoi les projets sérieux signent aussi leurs fichiers de sommes (par exemple un fichier SHA256SUMS avec sa signature .gpg) ou signent l'installateur lui-même, ce que Windows affiche comme éditeur vérifié et que macOS contrôle par la notarisation. Pour un logiciel sensible, prenez la somme de contrôle à une autre source que le fichier : le site principal du projet, ses notes de version ou son compte officiel, plutôt que le miroir d'où vous avez téléchargé.
MD5 et SHA-1 restent valables pour détecter une corruption accidentelle, car un dommage aléatoire ne produit pas de collision. Contre une falsification délibérée, ne vous fiez qu'à SHA-256 ou plus fort.
Quand la somme de contrôle ne correspond pas
- Vérifiez que vous comparez le même algorithme. Une valeur SHA-1 ne correspondra jamais à un résultat SHA-256. L'outil compare avec les cinq hash à la fois pour écarter ce cas.
- Assurez-vous d'avoir le bon fichier. Les pages de téléchargement proposent souvent plusieurs versions (x64, ARM, installateur, portable) ; chacune a sa propre somme.
- Copiez la valeur entière. Une somme tronquée d'un seul caractère échoue. Les espaces et retours à la ligne dans la valeur collée sont ignorés par l'outil.
- Téléchargez à nouveau, de préférence depuis la source officielle plutôt qu'un miroir, avec une connexion stable. Un téléchargement incomplet est la cause la plus fréquente d'une non-correspondance.
- N'utilisez pas le fichier s'il ne correspond toujours pas après un nouveau téléchargement depuis le site officiel. Signalez-le à l'éditeur.
- Si vous hachez du texte plutôt qu'un fichier, un retour à la ligne final ou un autre encodage change le résultat. Les sommes des pages de téléchargement sont toujours calculées sur le fichier lui-même.
Gros fichiers et confidentialité
Certains outils de checksum en ligne envoient votre fichier sur un serveur. C'est lent pour une image disque de 4 Go et une mauvaise idée pour des documents privés, des sauvegardes ou des versions non publiées. Le vérificateur de cette page lit le fichier directement depuis votre disque dans le navigateur ; les hash SHA sont calculés par le moteur Web Crypto intégré au navigateur et rien n'est envoyé nulle part.
Les fichiers de plusieurs centaines de mégaoctets fonctionnent sur la plupart des ordinateurs et téléphones. Comme le fichier entier est chargé en mémoire, les très grosses images de plusieurs gigaoctets peuvent dépasser ce qu'un onglet de navigateur peut utiliser ; pour celles-là, les commandes ci-dessus sont le meilleur choix.