Qu'est-ce qu'un hash SHA-1 ?
SHA-1 calcule, à partir de n'importe quelle donnée, une empreinte de 160 bits, écrite en 40 caractères hexadécimaux. Il fait partie des sept algorithmes de la norme FIPS 180-4 du NIST, l'institut américain des normes, aux côtés de la famille SHA-2 (SHA-256, SHA-512…). Comme toute fonction de hachage, il est déterministe : la même donnée donne toujours la même empreinte, et le moindre changement la bouleverse.
texte (UTF-8) ou fichier, de toute taille160 bits = 20 octets = 40 caractères hexadécimaux28 caractères, dont un « = » de remplissageLe générateur affiche l'empreinte en hexadécimal, la forme des pages de téléchargement et de la commande sha1sum, et en Base64, plus compacte, que certains formats attendent. Pour un texte, ce sont ses octets en UTF-8 qui sont hachés ; pour un fichier, ses octets exacts, lus par votre navigateur sans être envoyés.
Trois exemples
a9993e364706816aba3e25717850c26c9cd0d89d
f30ecbf5b1cb85c631fdec0b39678550973cfcbc
dd934886cb654a0776a918288619e600955b5e3f : un seul caractère invisible en plus, et plus rien de commun avec l'empreinte précédente.
SHA-1 est retiré par le NIST
Le NIST a déprécié SHA-1 en 2011 et interdit son usage pour les signatures numériques fin 2013, après une attaque contre sa résistance aux collisions, la propriété qui empêche de fabriquer deux données de même empreinte. En 2022, il a annoncé l'abandon de ses derniers usages : la transition doit être achevée au 31 décembre 2030, au profit des familles SHA-2 et SHA-3.
En France, la CNIL range MD5 et SHA-1 parmi les fonctions de hachage obsolètes à ne plus utiliser et recommande SHA-2 ou SHA-3. Pour stocker des mots de passe, elle recommande des fonctions faites pour cela : bcrypt, scrypt, Argon2 ou PBKDF2, avec un sel.
Quand SHA-1 reste acceptable
Une collision se fabrique exprès, elle ne survient pas par hasard. SHA-1 sert donc encore à détecter une erreur :
- contrôler un fichier téléchargé contre l'empreinte SHA-1 publiée par l'éditeur ;
- retrouver une empreinte que d'anciens logiciels affichent encore ;
- repérer des fichiers identiques.
Il ne protège pas d'une modification volontaire : pour une signature, un certificat ou toute vérification face à un attaquant, utilisez SHA-256 ou SHA-512.
L'erreur fréquente
Un fichier texte se termine souvent par un retour à la ligne, que Windows écrit sur deux caractères. Copié dans la zone de texte, il disparaît ou change, et l'empreinte avec. Pour vérifier un fichier, choisissez « Un fichier » : ce sont alors ses octets exacts qui sont hachés.
Questions fréquentes
SHA-1 est-il encore sûr ?
Non pour la sécurité. Le NIST l'a déprécié en 2011, interdit pour les signatures numériques fin 2013, et prévoit d'en finir avec ses derniers usages au 31 décembre 2030. La CNIL le classe parmi les fonctions obsolètes. Il reste utile pour détecter une erreur de copie.
Quelle différence entre SHA-1 et SHA-256 ?
SHA-1 donne une empreinte de 160 bits (40 caractères hexadécimaux), SHA-256 de 256 bits (64 caractères). SHA-256 appartient à la famille SHA-2, que le NIST et la CNIL recommandent à la place de SHA-1.
Mon texte ou mon fichier est-il envoyé ?
Non. L'empreinte est calculée par votre navigateur, dans la page : rien n'est envoyé ni enregistré, et le texte n'apparaît pas dans l'adresse.
Peut-on « décrypter » un hash SHA-1 ?
Non : une empreinte ne se déchiffre pas, elle ne contient pas la donnée. En revanche, un mot de passe ou un texte courant se retrouve en essayant des candidats un à un. C'est pourquoi un hash simple ne protège pas un mot de passe.
Pourquoi mon empreinte diffère-t-elle de celle attendue ?
Les octets hachés diffèrent : retour à la ligne final, espace, accents encodés autrement qu'en UTF-8, ou fichier incomplet. Hachez le fichier lui-même plutôt que son contenu copié, et comparez sans tenir compte des majuscules.
Vérifié le 11 octobre 2026 sur NIST (2022), NIST, fonctions de hachage et CNIL.
Une erreur ? Signalez-la, nous la corrigeons.