Vérifier la somme de contrôle d’un fichier (SHA-256)

Ce que révèle une somme de contrôle

Une somme de contrôle est une courte empreinte calculée à partir de chaque octet d’un fichier. Si celle de votre téléchargement correspond à celle publiée par le développeur, le fichier est identique. Si un seul octet diffère, parce que le téléchargement a été interrompu ou que quelqu’un a modifié le fichier, la somme de contrôle est complètement différente.

Dans le navigateur

1. Ouvrez le Générateur de hash.
2. Choisissez le fichier téléchargé. Ses hash sont calculés sur votre ordinateur.
3. Collez la somme de contrôle publiée dans « Comparer avec ». Une correspondance est confirmée aussitôt.

Sous Windows

Dans l’invite de commandes :

certutil -hashfile fichier.iso SHA256

Ou dans PowerShell, qui utilise SHA-256 par défaut :

Get-FileHash fichier.iso

Sur Mac

shasum -a 256 fichier.iso

Sous Linux

sha256sum fichier.iso

MD5 et SHA-1

Certains sites publient encore des sommes de contrôle MD5 ou SHA-1. Elles suffisent pour repérer un téléchargement interrompu, mais pas une modification volontaire, car on peut fabriquer des faux qui correspondent. Utilisez le SHA-256 quand il est proposé.

Un exemple concret

Créez un fichier texte qui contient seulement le mot hello, sans retour à la ligne après. Sa somme SHA-256 est

2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

Appuyez sur Entrée après le mot et enregistrez de nouveau. Le fichier fait un octet de plus, et la somme devient

5891b5b522d5df086d0ff0b110fbd9d21bb4fc7163af34d08286a2e846f6be03

Le second hash ne ressemble en rien au premier. C’est tout l’intérêt d’une somme de contrôle : la moindre modification donne un résultat complètement différent.

Problèmes fréquents

• Les hashs correspondent presque. Le « presque » n’existe pas. Soit tous les caractères correspondent, soit les fichiers diffèrent. Comparez la chaîne entière, pas seulement les premiers et derniers caractères. Majuscules et minuscules comptent pareil.
• Vous avez comparé avec le mauvais fichier. Les pages de téléchargement listent souvent plusieurs sommes : installeur, image disque, 32 et 64 bits. Vérifiez aussi le nom du fichier.
• La somme est publiée à côté du téléchargement. Elle prouve que le fichier n’a pas été abîmé en route. Si le serveur lui-même était piraté, les deux pourraient avoir été remplacés. Les projets qui signent leurs fichiers de sommes (.asc ou .sig) permettent de vérifier la signature avec GPG pour l’exclure.