Comment calculer l’empreinte d’un texte

Six empreintes et les six mêmes avec une clé : MD5, SHA-1, SHA-224, SHA-256, SHA-384 et SHA-512, chacune aussi disponible en HMAC. Toutes les valeurs ont été vérifiées contre une implémentation indépendante — 36 empreintes par langue, 12 algorithmes sur trois entrées, identiques jusqu’au dernier caractère hexadécimal.

Le résultat est de l’hexadécimal en minuscules et rien d’autre : 32 caractères pour MD5, 40 pour SHA-1, 56 pour SHA-224, 64 pour SHA-256, 96 pour SHA-384 et 128 pour SHA-512. Le calcul se fait dans la page : le texte ne quitte pas le navigateur et l’outil fonctionne hors ligne une fois chargé.

Collez ou saisissez le texte dans la zone. Il est haché en UTF-8 tel quel : les espaces et les retours à la ligne comptent, et un retour final donne une empreinte différente.
Cliquez sur l’un des six boutons verts pour une empreinte simple. Le résultat apparaît en dessous sous forme de chaîne hexadécimale brute, sans nom d’algorithme ni séparateur.
Cliquez plutôt sur un bouton bleu HMAC : un champ de clé apparaît au-dessus des boutons. Saisissez la clé puis cliquez à nouveau sur le même bouton — le calcul n’est relancé qu’au clic.
Copier le résultat place la chaîne dans le presse-papiers et Effacer vide la zone et le résultat.

Algorithmes, résultat et champ de clé

Ce que produit chaque algorithme

MD5 et SHA-1 servent aux sommes de contrôle et aux systèmes qui les réclament encore ; SHA-256 et SHA-512 sont ceux à utiliser quand l’empreinte part ailleurs. SHA-224 et SHA-384 sont les variantes tronquées de ces deux derniers et figurent ici parce que certaines bibliothèques et outils de certificats les nomment explicitement.

Les douze sont à sens unique — la page ne propose aucune fonction inverse — et l’empreinte d’un seul caractère est aussi longue que celle d’un mégaoctet. Le texte "abc" donne 900150983cd24fb0d6963f7d28e17f72 en MD5 et ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad en SHA-256, comme n’importe quelle implémentation indépendante.

Le champ de clé et HMAC

HMAC mêle une clé secrète au calcul : le même texte donne donc une empreinte différente pour chaque clé. Le champ reste masqué jusqu’au clic sur un bouton HMAC et se masque de nouveau dès qu’un bouton vert est cliqué : une empreinte simple n’utilise jamais la clé, quoi qu’il y ait dans ce champ.

Les clés plus longues que le bloc de la fonction sont hachées d’abord, comme l’exige la RFC 2104, et une clé vide est acceptée : la page renvoie alors l’empreinte du texte avec une clé vide au lieu de refuser. SHA-224 et SHA-384 tronquent leur sortie, et c’est précisément là que les aides HMAC en JavaScript se trompent ; les deux ont été vérifiées ici contre une implémentation indépendante et concordent.

Ce qu’est le résultat, et ce qu’il n’est pas

La zone de résultat contient la chaîne hexadécimale brute : pas de préfixe, pas de séparateur, pas de nom d’algorithme, pas de retour à la ligne ajouté. Elle se colle donc directement dans un fichier de sommes de contrôle ou une ligne de commande, et cela signifie aussi qu’associer l’empreinte à un nom de fichier reste une étape manuelle.

C’est une calculatrice de hachage, pas un schéma de stockage de mots de passe. La fonction choisie s’applique une seule fois, sans sel et sans nombre d’itérations, et rien ici ne conserve ni ne compare de valeurs. Pour des mots de passe, utilisez bcrypt, scrypt ou Argon2 plutôt qu’une empreinte SHA-256 brute.

Où cela s’exécute, et une limite

Les bibliothèques viennent du site et le hachage se fait dans la page : après le chargement, aucun requête n’a été émise par le calcul et le texte n’est jamais envoyé. Une entrée de 4,8 Mo a été hachée en SHA-256 en environ 0,6 seconde, une de 1 Mo en 0,2 seconde.

L’entrée est une zone de texte : l’outil hache donc du texte en UTF-8 et les fichiers binaires sortent de son périmètre — leurs octets devraient être encodés d’abord. Pour des fichiers, comparez l’empreinte produite par votre système avec sha256sum ou certutil, qui lisent les octets directement.