Générateur de hash SHA-256, SHA-512, SHA-1 et MD5

Saisissez un texte pour obtenir ses empreintes SHA-256, SHA-512, SHA-1 et MD5, et comparez-les à un hash attendu.

Empreintes SHA-256, SHA-512, SHA-1 et MD5 d'un texte : mode d'emploi

L'outil calcule à chaque frappe quatre empreintes du texte saisi : SHA-256 (64 caractères hexadécimaux), SHA-512 (128), SHA-1 (40) et MD5 (32). Les trois SHA passent par l'API Web Crypto du navigateur sur le texte encodé en UTF-8 ; un champ de vérification indique quel algorithme correspond à une empreinte collée. Aucune fonction HMAC à clé n'est proposée.

Fonctionnement

  • SHA-256, SHA-512 et SHA-1 : crypto.subtle.digest sur les octets UTF-8 du texte, rendu en hexadécimal minuscule (majuscules en option).
  • MD5 : implémentation JavaScript intégrée à la page.
  • Vérification : l'empreinte collée est nettoyée des espaces, comparée sans tenir compte de la casse aux quatre résultats, et l'algorithme correspondant est nommé.
  • Seul du texte est haché ; pour contrôler un fichier téléchargé, utilisez sha256sum ou Get-FileHash.

Exemple

Le texte abc donne en SHA-256 ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad, la valeur de test publiée avec la norme. Un seul caractère modifié change toute l'empreinte.

MD5 et caractères accentués

Comme les SHA, le MD5 porte sur les octets UTF-8 du texte. Pour abc, il donne 900150983cd24fb0d6963f7d28e17f72, la valeur de test de la RFC 1321, et un texte accentué donne le même résultat que md5sum sur un fichier UTF-8 : le champ de vérification reconnaît donc un checksum MD5 publié.

Limites de sécurité

  • MD5 et SHA-1 subissent des attaques par collision : ils ne conviennent ni aux signatures ni aux certificats.
  • Aucune de ces fonctions, SHA-256 comprise, ne doit servir à stocker des mots de passe : elles sont rapides et sans sel. Préférez Argon2, scrypt ou bcrypt.
  • L'outil ne calcule pas de HMAC, faute de champ pour la clé secrète.

Sources et dates : norme FIPS 180-4 du NIST (Secure Hash Standard, août 2015) ; annonce du NIST du 15 décembre 2022 programmant l'abandon de SHA-1 au plus tard le 31 décembre 2030 ; RFC 6151 (mars 2011) sur les faiblesses de MD5 (vérifié le 14/10/2026).

Questions fréquentes

Peut-on utiliser SHA-256 pour hacher des mots de passe ?

Non. SHA-256 est conçu pour être rapide, ce qui facilite les attaques par force brute, et l'outil ne lui ajoute aucun sel. Pour des mots de passe, utilisez une fonction lente et salée comme Argon2, scrypt ou bcrypt.

MD5 et SHA-1 sont-ils encore sûrs ?

Pas pour la sécurité : tous deux subissent des collisions pratiques, et le NIST a programmé l'abandon de SHA-1 au plus tard le 31 décembre 2030. Ils servent encore à repérer une corruption accidentelle, pas à se protéger d'une modification volontaire.

Pourquoi le MD5 affiché diffère-t-il de celui de ma ligne de commande ?

Le plus souvent, la commande hache aussi le saut de ligne final : echo abc | md5sum donne 0bee89b07a248e27c83fc3d5951213c1, alors que printf abc | md5sum donne 900150983cd24fb0d6963f7d28e17f72, comme l'outil. Vérifiez aussi l'encodage : l'outil hache le texte en UTF-8.

Comment vérifier un checksum avec cet outil ?

Saisissez le texte, puis collez l'empreinte attendue dans le champ de vérification. L'outil la compare, sans tenir compte des majuscules, aux quatre empreintes calculées et nomme l'algorithme qui correspond. Il ne hache pas de fichiers : pour un fichier, utilisez sha256sum ou Get-FileHash.

L'outil est-il vraiment gratuit ?

Oui, l'intégralité des outils sur Kristools sont 100% gratuits et accessibles sans inscription.

Mes données sont-elles protégées ?

Oui. Tous les traitements sont effectués directement et en toute sécurité dans votre navigateur. Aucune donnée personnelle n'est envoyée vers nos serveurs.