Comment vérifier un fichier avec son empreinte
Un éditeur qui publie un fichier publie souvent, à côté, son empreinte : une suite de chiffres et de lettres calculée à partir de chaque octet du fichier. Si l'empreinte du fichier que vous avez reçu est identique, il est arrivé intact ; si un seul octet diffère, l'empreinte n'a plus rien à voir.
- Choisissez le fichier téléchargé (ou tapez le texte à contrôler).
- Collez l'empreinte publiée par l'éditeur.
- L'outil reconnaît l'algorithme, calcule l'empreinte dans votre navigateur et compare les deux.
La comparaison ignore les majuscules et les espaces autour de l'empreinte : BA7816BF… et ba7816bf… désignent la même valeur. Elle porte sur tous les caractères, pas seulement le début et la fin.
L'algorithme, deviné par la longueur
Chaque algorithme produit une empreinte de taille fixe. Il suffit donc de compter les caractères pour savoir lequel a servi :
| Algorithme | Hexadécimal | Base64 |
|---|---|---|
| MD5 | 32 | 24 |
| SHA-1 | 40 | 28 |
| SHA-256 | 64 | 44 |
| SHA-384 | 96 | 64 |
| SHA-512 | 128 | 88 |
Une empreinte de 64 caractères faite seulement de chiffres et de lettres a à f est lue comme du SHA-256 en hexadécimal, pas comme du SHA-384 en Base64 : c'est une convention de l'outil. Vous pouvez aussi coller la ligne entière d'un fichier de contrôle : le format de sha256sum (empreinte nom-du-fichier) et le format BSD (SHA256 (nom) = empreinte) sont reconnus.
Trois exemples
Attendue : BA7816BF8F01CFEA414140DE5DAE2223B00361A396177A9CB410FF61F20015AD. 64 caractères : SHA-256. L'empreinte calculée est la même en minuscules : elles correspondent.
Attendue : f02368945726d5fc2a14eb576f7276c0, 32 caractères : MD5. Calculée : ebc58ab2cb4848d04ec23d83f7ddf985. Une seule majuscule de différence : elles diffèrent.
ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad abc.txt : l'outil garde l'empreinte, ignore le nom du fichier et reconnaît SHA-256.
Ce qu'une empreinte identique prouve
Elle prouve que le fichier est celui dont l'empreinte a été publiée. Elle ne prouve pas que cette empreinte vient de l'éditeur : si un pirate a remplacé le fichier sur le site, il a pu remplacer l'empreinte publiée à côté. Préférez une empreinte affichée sur une page officielle distincte du lien de téléchargement, et une signature numérique quand l'éditeur en fournit une.
L'algorithme compte aussi. La CNIL range MD5 et SHA-1 parmi les fonctions de hachage obsolètes, et le NIST prévoit d'abandonner SHA-1 d'ici fin 2030 : une empreinte MD5 ou SHA-1 identique détecte une erreur de téléchargement, mais pas un fichier modifié exprès. SHA-256 et SHA-512, de la famille SHA-2, restent recommandés.
Quand les empreintes diffèrent
Un téléchargement interrompu donne un fichier plus court : relancez-le. Vérifiez aussi que l'empreinte publiée correspond bien à ce fichier et à cette version. Pour un texte, un retour à la ligne final ou un espace en plus suffit à tout changer : hachez le fichier lui-même plutôt que son contenu copié.
Questions fréquentes
Comment savoir quel algorithme a produit une empreinte ?
À sa longueur : en hexadécimal, 32 caractères pour MD5, 40 pour SHA-1, 64 pour SHA-256, 96 pour SHA-384 et 128 pour SHA-512. L'outil le reconnaît seul, et accepte aussi l'écriture en Base64.
Les majuscules comptent-elles ?
Non. L'hexadécimal n'est qu'une écriture des octets de l'empreinte : A et a valent tous deux 10. L'outil compare sans tenir compte de la casse. En Base64 en revanche, majuscules et minuscules sont des valeurs différentes.
Mon fichier est-il envoyé pour la vérification ?
Non. Le fichier est lu et haché par votre navigateur, dans la page : rien n'est envoyé ni enregistré, et rien n'apparaît dans l'adresse de la page.
Les empreintes correspondent : le fichier est-il sûr ?
Il est identique à celui dont l'empreinte a été publiée. Si le site a été piraté, l'empreinte affichée a pu être remplacée avec le fichier, et une empreinte MD5 ou SHA-1 ne résiste pas à une modification volontaire. Une signature de l'éditeur protège mieux.
Les empreintes diffèrent : que faire ?
Retéléchargez le fichier, un transfert a pu être interrompu, et vérifiez que l'empreinte publiée concerne bien cette version. Si elles diffèrent encore, n'ouvrez pas le fichier.
Vérifié le 11 octobre 2026 sur CNIL, hachage et NIST (2022).
Une erreur ? Signalez-la, nous la corrigeons.