Qu'est-ce qu'un hachage et comment vérifier l'intégrité d'un texte en ligne ?

En bref : un hachage est une empreinte de longueur fixe calculée à partir de votre texte. La même entrée produit toujours le même hachage, mais un seul caractère modifié en produit un complètement différent : c'est précisément ce qui rend les hachages utiles pour détecter si un texte ou un fichier a changé. Ce guide explique ce qu'est un hachage, quel algorithme choisir (MD5, SHA-1, SHA-256, SHA-512), comment vérifier l'intégrité en pratique et les limites de sécurité à ne jamais ignorer.

Le hachage transforme un texte de n'importe quelle longueur — un mot, un paragraphe ou un document entier — en une courte chaîne de caractères hexadécimaux. Comme le calcul est déterministe, vous pouvez l'exécuter deux fois et comparer : des hachages identiques signifient une entrée identique octet par octet, des hachages différents indiquent qu'un élément a changé, même si les deux versions semblent identiques à l'écran.

Qu'est-ce qu'un hachage, exactement ?

Une fonction de hachage cryptographique possède trois propriétés qui comptent au quotidien. Elle est déterministe : la même entrée donne toujours la même sortie. Elle est de longueur fixe : hacher trois mots ou trois mégaoctets produit un condensé de même taille. Et elle présente l'effet d'avalanche : changer un caractère — même un espace final — inverse environ la moitié des bits de sortie, si bien que le nouveau hachage paraît sans rapport avec l'ancien.

C'est cette dernière propriété qui fait du hachage un détecteur de changements fiable : vous ne pouvez pas comparer à l'œil deux longs paragraphes et être sûr qu'ils sont identiques, mais vous pouvez comparer deux hachages de 64 caractères en une seconde.

Quel algorithme choisir ?

Les algorithmes courants diffèrent surtout par la longueur du condensé et par le fait d'être encore considérés comme sûrs ou non :

• MD5 — condensé de 128 bits, 32 caractères hexadécimaux. Rapide, mais cryptographiquement cassé (des collisions pratiques existent). Convient aux contrôles non liés à la sécurité comme la déduplication ; jamais pour la sécurité.
• SHA-1 — 160 bits, 40 caractères. Également cassé par des attaques de collision ; en cours d'abandon partout.
• SHA-256 — 256 bits, 64 caractères. De la famille SHA-2, c'est aujourd'hui le choix par défaut raisonnable pour les contrôles d'intégrité.
• SHA-512 — 512 bits, 128 caractères. Une marge de sécurité plus large ; utile quand vous voulez un surcroît de robustesse.

En cas de doute, choisissez SHA-256 : largement pris en charge, rapide sur le texte et assez solide pour qu'une collision délibérée ne soit pas une préoccupation réaliste.

Vérifier l'intégrité d'un texte en pratique

Le flux est simple. Collez le texte original dans le Générateur de Hachage et notez le condensé SHA-256. Plus tard — après que le texte est passé par un e-mail, un collage dans un CMS ou une copie entre applications — recalculez-le et comparez. Si les deux condensés coïncident, rien n'a changé. S'ils diffèrent, une modification invisible s'est glissée : une apostrophe typographique substituée, un saut de ligne supprimé ou un espace final.

C'est plus fiable qu'une relecture visuelle, justement parce que ce qui casse la mise en forme est souvent ce qu'on ne voit pas.

Ce qu'un hachage ne peut pas faire

Le hachage n'est pas du chiffrement. Un hachage est à sens unique : vous ne pouvez pas revenir d'un condensé SHA-256 au texte original. Cela signifie aussi que le hachage ne cache ni ne protège le contenu : il permet seulement de détecter un changement. Deux autres limites méritent d'être dites clairement :

• Le hachage brut d'un mot de passe n'est pas un stockage sûr. Les mots de passe exigent une fonction lente et salée (bcrypt, scrypt, Argon2), pas un simple MD5 ou SHA-256.
• L'encodage compte. Le même texte visible haché en UTF-8 puis en UTF-16, ou avec et sans saut de ligne final, produit des condensés différents. Comparez le semblable au semblable.

Vérifier un fichier téléchargé

L'usage le plus courant est de confirmer qu'un téléchargement est arrivé intact. Un éditeur publie le SHA-256 d'un installeur ; vous calculez le checksum du fichier reçu et comparez. S'ils coïncident, les octets sont identiques à ceux distribués. Un écart signifie presque toujours un téléchargement corrompu ou incomplet — ou, rarement, un fichier altéré. Pour les fichiers locaux, utilisez le Vérificateur de Checksum de Fichier, qui lit le fichier dans votre navigateur sans jamais l'envoyer en ligne.

Erreurs courantes à éviter

• Utiliser MD5 ou SHA-1 pour quoi que ce soit lié à la sécurité — préférez SHA-256.
• Confondre hachage et chiffrement, ou espérer « décoder » un hachage.
• Comparer des hachages générés à partir d'encodages différents ou avec des espaces parasites.
• Stocker des hachages bruts de mots de passe au lieu d'une fonction dédiée.

Bien utilisé, un hachage est l'un des contrôles d'intégrité les moins coûteux : collez, comparez, et vous savez avec certitude si deux versions coïncident — sans deviner, et sans que rien ne quitte votre navigateur.