Générateur de Hash SHA-256 & Outil Checksum

Qu'est-ce que SHA-256 ?

// Hash text using Web Crypto API (SHA-256)
async function sha256(text) {
  const data = new TextEncoder().encode(text);
  const hash = await crypto.subtle.digest('SHA-256', data);
  return Array.from(new Uint8Array(hash))
    .map(b => b.toString(16).padStart(2, '0'))
    .join('');
}

await sha256('Hello, World!');
// → 'dffd6021bb2bd5b0af676290809ec3a53191dd81c7f70a4b28688a362182986f'

Exemples SHA-256

ubuntu-24.04.iso

-----BEGIN CERTIFICATE-----MIIDXTCCAkWg...

/* CSS file contents */

password123

ef92b778bafe771e89245b89ecbc08a44a4e166c06659911881f383d4473e94f

Comment générer des hashes SHA-256

1. 1

   Collez du texte ou déposez un fichier

   Sélectionnez l'onglet Texte et collez n'importe quelle chaîne dans la zone de saisie, ou passez à l'onglet Fichier et faites glisser un fichier depuis votre bureau dans la zone de dépôt. Le sélecteur d'algorithme SHA-256 est déjà actif. Le hachage se produit au fil de la frappe — pas de bouton Générer à cliquer. Pour les fichiers, un indicateur de progression s'affiche pour les téléchargements volumineux (>10 Mo).

2. 2

   Copiez le hash de 64 caractères

   Cliquez sur le bouton Copier à côté de la sortie du hash. La valeur hex complète de 64 caractères va dans votre presse-papiers. Utilisez le bouton Majuscules/Minuscules si votre système en aval requiert une casse spécifique — Git utilise les minuscules, certains outils Windows utilisent les majuscules par défaut.

3. 3

   Vérifiez avec l'onglet Comparer

   Passez à l'onglet Comparer et collez deux hashes SHA-256 (par exemple, le vôtre et celui d'un éditeur). L'outil signale la correspondance ou la non-correspondance avec une comparaison en temps constant, sans divulguer d'informations de timing. Utile pour vérifier des fichiers ISO téléchargés, des digests d'images de conteneurs ou des empreintes JAR signés.

Détails techniques

Algorithme : famille SHA-2, construction Merkle-Damgård

SHA-256 traite l'entrée en blocs de 512 bits, appliquant 64 tours d'opérations binaires (rotations, XOR, additions modulo 2^32) avec des constantes dérivées des racines cubiques des 64 premiers nombres premiers. Le hash final est l'état interne après le dernier bloc. Implémentation : FIPS 180-4 sections 4.2 et 6.2.

Sortie : 256 bits, 64 caractères hexadécimaux

Toujours exactement 64 caractères dans la plage [0-9a-f] (minuscules) ou [0-9A-F] (majuscules). Les différents encodages (Base64, Base64URL) raccourcissent la chaîne ; cet outil produit la forme hexadécimale canonique.

Performance : ~500 Mo/s dans le navigateur, ~2 Go/s en natif

L'implémentation SHA-256 de Web Crypto est du C/Rust compilé s'exécutant hors de la VM JS, donc elle est compétitive avec les outils natifs. Débit typique dans un navigateur : 300–800 Mo/s. Un fichier de 1 Go se hache en 1–3 secondes.

Normes : FIPS 180-4, RFC 6234, NIST SP 800-107

Actuellement approuvé par le NIST pour tous les niveaux de sécurité jusqu'en 2030 et au-delà. Requis par PCI DSS 4.0 pour l'intégrité des données de titulaires de carte, par FedRAMP et par les évaluations Common Criteria EAL2+.

Bonnes pratiques

Hachez toujours des octets UTF-8, pas des points de code Unicode

Des encodages différents de la même chaîne produisent des hashes différents. UTF-8 est la norme de facto ; cet outil encode l'entrée en UTF-8 avant le hachage. Si vous devez correspondre à un outil utilisant UTF-16 (certaines APIs Windows) ou Latin-1, vous devez pré-encoder en externe.

Utilisez une comparaison en temps constant lors de la vérification

Si vous comparez deux hashes dans du code, utilisez une vérification d'égalité en temps constant (timingsafe_equal dans Node.js, hmac.compare_digest dans Python). Les comparaisons naïves === ou strcmp divulguent des informations de timing exploitables. L'onglet Comparer de cet outil utilise déjà la comparaison en temps constant.

Tronquer SHA-256 est acceptable pour les usages non sécuritaires

Pour les noms de fichiers de cache busting ou les IDs de contenu courts, prendre les 8 ou 16 premiers hex d'un hash SHA-256 est correct — la probabilité de collision reste astronomiquement faible à l'échelle d'internet. Pour un usage cryptographique (signatures, empreintes), conservez toujours les 64 caractères complets.

Associez à un sel pour tout usage avec clé

Si vous utilisez SHA-256 pour dériver une clé ou un jeton à partir d'un secret, incluez toujours un sel unique par entrée. Sans sel, les entrées identiques produisent des hashes identiques — ce qui divulgue des informations. Mieux : utilisez HKDF (RFC 5869) ou HMAC-SHA-256 au lieu de SHA-256 brut pour la dérivation de clés.

Questions fréquentes SHA-256