Générateur de Hash

MD5 (128-bit) : Rapide mais cassé cryptographiquement depuis les années 1990 — des attaques pratiques par collision existent. Ne l'utilisez que pour des sommes de contrôle sans enjeux de sécurité et pour la compatibilité avec les anciens systèmes. SHA-1 (160-bit) : Également cassé — Google a démontré une attaque pratique par collision (SHAttered) en 2017. À éviter pour tout usage lié à la sécurité. SHA-256 (256-bit) : La référence actuelle. Aucune attaque pratique connue. Utilisé dans TLS/HTTPS, Bitcoin, Git (SHA-1 est en cours de retrait) et la signature de code. Utilisez celui-ci pour tout nouveau projet. SHA-512 (512-bit) : Offre une marge de sécurité plus large et est en réalité plus rapide que SHA-256 sur les processeurs 64 bits car il travaille sur des mots de 64 bits au lieu de 32 bits. Utilisez-le quand vous voulez une marge de sécurité supplémentaire.

Une collision se produit lorsque deux entrées différentes produisent le même résultat de hash. Selon le paradoxe des anniversaires, les collisions deviennent de plus en plus probables à mesure que le nombre de valeurs de hash possibles diminue. MD5 a une sortie de 128 bits (environ 3.4 × 10^38 valeurs possibles), mais des attaques pratiques pour trouver des collisions ont été démontrées — un attaquant peut créer deux fichiers différents avec le même hash MD5. SHA-256 a une sortie de 256 bits (10^77 valeurs possibles) et aucune attaque pratique par collision n'est connue. Les collisions sont importantes pour les signatures numériques et les certificats : si vous pouvez créer une collision, vous pourriez être en mesure de falsifier une signature.

Activez le mode Batch et saisissez une valeur par ligne dans l'entrée texte. Chaque ligne est hachée séparément. Le tableau des résultats affiche l'entrée et ses valeurs de hash pour chaque algorithme sélectionné, côte à côte. Téléchargez tout sous forme de fichier CSV pour l'importer dans Excel, une base de données ou n'importe quel pipeline de traitement de données. Ceci est utile pour générer des hashs pour une liste de mots de passe, de clés API ou de sommes de contrôle de fichiers en masse.

Un hash régulier comme SHA-256 est sans clé — n'importe qui peut calculer le même hash à partir de la même entrée. C'est parfait pour vérifier l'intégrité (téléchargements de fichiers) mais pas pour l'authentification. HMAC (Hash-based Message Authentication Code) combine une fonction de hash avec une clé secrète : HMAC-SHA256(clé, message). Le code résultant ne peut être vérifié que par quelqu'un qui connaît la clé. Les HMAC sont utilisés pour la signature de requêtes API (AWS Signature V4, JWT avec HS256), la vérification de webhooks (GitHub, Stripe) et l'intégrité des cookies. Cet outil génère des hashs standards (sans clé). Pour un HMAC, vous avez besoin d'un outil ou d'un code qui accepte une clé.

Lorsque vous téléchargez un logiciel, l'éditeur publie généralement une somme de contrôle SHA-256 (ou MD5) à côté du lien de téléchargement. En calculant le hash de votre fichier téléchargé et en le comparant à la valeur publiée, vous pouvez vérifier : (1) que le fichier n'a pas été corrompu pendant le transfert — même un seul bit inversé change complètement le hash, (2) que le fichier n'a pas été altéré par une attaque de type man-in-the-middle ou par un miroir compromis. C'est particulièrement important pour les outils de sécurité, les images système et tout logiciel que vous prévoyez d'exécuter avec des privilèges élevés. Utilisez le champ de comparaison intégré : collez le hash attendu et l'outil vous dira instantanément s'ils correspondent.

Non, pas directement. Les fonctions de hash régulières (SHA-256, SHA-512, MD5) sont conçues pour être rapides — un GPU moderne peut calculer des milliards de hashs SHA-256 par seconde. Pour les mots de passe, vous avez besoin de fonctions spécifiquement conçues pour être lentes : bcrypt (coût ajustable, minimum recommandé par OWASP de 10), scrypt (mémoire-dur) ou Argon2 (le choix recommandé actuellement). Ces fonctions prennent 100 à 300 ms par vérification, ce qui est imperceptible pour les utilisateurs mais rend le brute-force de milliards de tentatives impraticable. Utilisez cet outil pour la vérification de fichiers, l'empreinte numérique de données et les contrôles d'intégrité — utilisez bcrypt/Argon2 pour les mots de passe.

Non. Tous les calculs de hash s'exécutent dans votre navigateur en utilisant l'API Web Crypto (pour les variantes SHA) et JavaScript (pour la compatibilité MD5). Votre texte, vos fichiers et vos mots de passe ne quittent jamais votre appareil.