Générateur de hash
De vrais condensats, calculés sur votre machine : MD5, SHA-1, SHA-256, SHA-384, SHA-512 et HMAC-SHA-256, pour du texte saisi ou un fichier déposé. C’est l’outil pour le travail où un chat IA est le plus mauvais : demandez un hash à un chatbot et il inventera une chaîne qui semble parfaite et ne correspond à rien, parce qu’il prédit du texte au lieu de calculer. Ici, les algorithmes tournent réellement, le fichier n’est jamais téléversé, et la réponse est le condensat, pas une supposition.
- MD5
- —
- SHA-1
- —
- SHA-256
- —
- SHA-384
- —
- SHA-512
- —
- HMAC-SHA-256
- Saisissez une clé pour calculer le HMAC du texte ou du fichier ci-dessus.
Pourquoi un hash calculé et un hash inventé se ressemblent trait pour trait
Un hash est une empreinte dotée d’une propriété particulière : changez un bit de l’entrée et environ la moitié des bits de sortie basculent. Il n’y a pas de « presque » dans l’espace des hash, aucun motif auquel un prédicteur de texte puisse s’accrocher — les 64 caractères hexadécimaux d’un SHA-256 sont, pour tout modèle qui n’a pas réellement exécuté l’algorithme, indiscernables du hasard. Le chatbot fait donc la seule chose qu’il sait faire : produire 64 caractères hex à l’air aléatoire, parfaitement formatés et complètement faux. Des gens ont publié des notes de version, des instructions de vérification et des rapports d’incident contenant de telles inventions, parce que rien dans la chaîne ne semble faux. La défense est ennuyeuse et totale : n’acceptez jamais un condensat de quelque chose qui ne peut pas montrer son travail. Cette page le montre par construction — MD5 est implémenté au grand jour à partir de la RFC 1321 (WebCrypto omet MD5 délibérément, donc une page qui le propose l’a soit écrit, soit simule), la famille SHA passe par le WebCrypto du navigateur lui-même, et les fichiers déposés sont lus avec l’API File locale et hachés sur place. Rien n’est téléversé, ce qui compte parce que les fichiers que l’on hache sont si souvent les fichiers sensibles : une image de firmware sous NDA, un dump de base de données, le binaire exact d’un hôte de production.
Deux voisins complètent l’ensemble. Si ce que vous tenez est un hash et que la question est « qu’est-ce qui l’a produit ? », l’identificateur de hash lit sa longueur, son alphabet et son préfixe et nomme les candidats — honnêtement, y compris ceux que la forme ne peut pas séparer. Et parce que l’autre confusion classique oppose réversible et unidirectionnel, l’article Base64 n’est pas du chiffrement distingue encodage (réversible, sans clé), chiffrement (réversible, avec clé) et hachage (unidirectionnel, sans clé) — les trois idées dont les confusions remplissent les rapports de violation. Pour vérifier les certificats d’un serveur en direct plutôt qu’un fichier, le vérificateur SSL et le noteur SSL font le côté réseau du même travail.
Questions fréquentes
Un chatbot IA ne peut-il pas simplement hacher ceci pour moi ?
Il peut vous remettre une chaîne qui ressemble exactement à un hash — 64 caractères hexadécimaux assurés pour SHA-256 — et cette chaîne sera inventée. Un modèle de langage ne calcule pas de condensats ; il prédit du texte, et un hash est justement le genre de texte où « plausible » et « correct » n’ont rien en commun. Il ne peut pas non plus hacher un fichier qu’il ne peut pas lire. Cette page calcule le vrai condensat sur votre propre machine, avec les mêmes algorithmes que votre système d’exploitation — et si l’entrée est un fichier, le fichier ne quitte jamais le navigateur. L’article phare, ne laissez jamais un chatbot toucher à vos secrets, passe en revue les trois modes d’échec.
Pourquoi MD5 est-il là s’il est cassé ?
Parce que le monde publie encore des sommes de contrôle MD5. Les pages de téléchargement des éditeurs, les systèmes hérités, les anciens dumps de bases de données et une décennie de messages de forums utilisent MD5 comme empreinte, et vérifier un téléchargement contre son MD5 publié exige de produire un vrai MD5 — ce que WebCrypto refuse de faire ; l’implémentation de cette page est donc écrite à partir de la RFC 1321 et épinglée aux vecteurs de test de la RFC elle-même. Cassé pour la résistance aux collisions veut dire cassé pour les décisions de sécurité ; cela n’efface pas la base installée. Servez-vous-en pour vérifier des empreintes héritées, jamais pour protéger quoi que ce soit de nouveau.
Qu’est-ce que HMAC, et pourquoi lui faut-il une clé ?
Un hash simple prouve qu’un message correspond à un condensat ; il ne prouve pas qui l’a fait, parce que n’importe qui peut hacher n’importe quoi. HMAC mélange une clé secrète à la construction, de sorte que le condensat authentifie aussi l’expéditeur — c’est ainsi que les webhooks et les requêtes API signées se prouvent. Saisissez ici le même texte et la même clé et vous obtiendrez la valeur que votre code devrait produire, calculée localement, de sorte qu’un secret de webhook de production n’a jamais à être collé dans un chat ou sur le serveur d’un inconnu pour être débogué.
Dois-je hacher un mot de passe avec l’un de ceux-ci ?
Non. Ce sont des condensats rapides à usage général, et rapide est exactement ce qu’un hash de mot de passe ne doit pas être — un attaquant équipé d’un GPU en essaie des milliards par seconde. Les mots de passe relèvent de bcrypt, scrypt ou Argon2, délibérément lents et salés. Si vous avez un hash et voulez savoir ce qui l’a produit, l’identificateur de hash en lit la forme ; si vous avez besoin d’un nouveau mot de passe, le générateur de mots de passe en fabrique un localement.
Hex en majuscules ou en minuscules — est-ce important ?
Pas pour le condensat : l’hexadécimal est une notation, et A-F contre a-f relève de la typographie. C’est important pour les comparaisons, parce qu’une comparaison de chaînes octet par octet déclarera le même hash différent. L’interrupteur réécrit toutes les sorties d’un coup pour que vous puissiez adopter le format de la somme à laquelle vous vous comparez — la plupart des outils Unix impriment en minuscules, certains outils Windows en majuscules.