Qu'est-ce qu'un hash SHA-256 ?
SHA-256 calcule, à partir de n'importe quelle donnée, une empreinte de 256 bits, écrite en 64 caractères hexadécimaux. Il appartient à la famille SHA-2, définie par la norme FIPS 180-4 du NIST, l'institut américain des normes. Selon cette norme, les empreintes servent à détecter si un message a été modifié depuis leur calcul. La CNIL recommande les familles SHA-2 ou SHA-3, à la place de MD5 et SHA-1, devenus obsolètes.
texte (UTF-8) ou fichier, de toute taille256 bits = 32 octets = 64 caractères hexadécimaux44 caractères, dont un « = » de remplissageÀ quoi sert SHA-256
- Vérifier un téléchargement. Les éditeurs de logiciels publient l'empreinte SHA-256 de leurs fichiers : si celle du fichier reçu est identique, il est arrivé intact.
- Identifier un contenu. Deux fichiers de même empreinte SHA-256 ont, en pratique, le même contenu : on s'en sert pour repérer des doublons ou désigner un fichier sans le transmettre.
- Construire des signatures et des certificats. Une signature numérique porte sur l'empreinte du document, pas sur le document entier.
Trois exemples
ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad
Lycos : 7aef7f7e890ee4cf08ee82c20991bb126e786ce53dbbba0b28097374c39590c4
lycos : 1cc10a0edeaaeac26ad7bcabfcf6da5bc16d6f5fb69a19fbf9112c503c37afab
4a99557e4033c3539de2eb65472017cad5f9557f7a0625a09f1c3f6e2ba69c4c : un outil qui encode le texte autrement qu'en UTF-8 donnera une autre empreinte.
Pourquoi ne pas stocker un mot de passe en SHA-256
Une empreinte ne se déchiffre pas, mais elle se devine. SHA-256 est conçu pour être rapide : un attaquant qui obtient l'empreinte d'un mot de passe peut essayer des quantités de candidats et comparer leurs empreintes. Sans sel, deux utilisateurs au même mot de passe ont aussi la même empreinte, et une liste précalculée suffit.
La CNIL demande que les mots de passe ne soient jamais stockés en clair, mais transformés par une fonction cryptographique non réversible et sûre, avec un sel ou une clé. Elle cite des fonctions faites pour cela : bcrypt, scrypt, Argon2 ou PBKDF2. SHA-256 seul, rapide et sans sel, ne remplit pas ce rôle.
L'erreur fréquente
Un fichier texte se termine souvent par un retour à la ligne invisible, que Windows écrit sur deux caractères. Copié dans la zone de texte, il disparaît ou change, et l'empreinte n'a plus rien à voir. Pour vérifier un fichier, choisissez « Un fichier » : ses octets exacts sont hachés, sans quitter votre navigateur.
Questions fréquentes
Peut-on décoder un hash SHA-256 ?
Non : une empreinte ne contient pas la donnée et ne se déchiffre pas. Mais un texte court ou courant, comme un mot de passe faible, se retrouve en essayant des candidats et en comparant leurs empreintes.
SHA-256 est-il sûr ?
Oui pour l'intégrité : il appartient à la famille SHA-2, que la CNIL recommande à la place de MD5 et SHA-1. Il ne suffit pas, seul, à protéger un mot de passe stocké : il faut une fonction dédiée avec un sel, comme bcrypt, scrypt, Argon2 ou PBKDF2.
Mon fichier est-il envoyé sur un serveur ?
Non. Le fichier est lu et haché par votre navigateur, dans la page. Rien n'est envoyé ni enregistré, et le texte saisi n'apparaît pas dans l'adresse de la page.
Pourquoi l'empreinte en Base64 est-elle plus courte ?
C'est la même valeur de 32 octets, écrite autrement : 64 caractères en hexadécimal (4 bits par caractère), 44 en Base64 (6 bits par caractère, plus un signe « = » de remplissage). Certains outils et formats web l'attendent en Base64.
Comment vérifier un fichier téléchargé ?
Choisissez « Un fichier », sélectionnez-le, puis comparez l'empreinte affichée à celle publiée par l'éditeur. L'outil « Vérifier un hash » fait la comparaison pour vous et reconnaît l'algorithme à la longueur de l'empreinte.
Vérifié le 11 octobre 2026 sur NIST, FIPS 180-4, CNIL, hachage et CNIL, mots de passe.
Une erreur ? Signalez-la, nous la corrigeons.