Collez deux empreintes : l’outil les normalise (casse, espaces, deux-points, préfixe comme sha256-), indique si elles correspondent, l’algorithme probable et la position de la première différence.
La casse, les espaces, les deux-points et les préfixes comme « sha256- » sont ignorés.
Ce comparateur vérifie si deux empreintes de hachage sont identiques sans que vous ayez à les relire caractère par caractère. Il sert à confronter la somme de contrôle publiée par un éditeur à celle que vous avez calculée, ou deux empreintes de certificat affichées dans des formats différents.
Avant la comparaison, les deux valeurs sont normalisées : passage en minuscules, suppression des espaces, des retours à la ligne et des deux-points, et retrait d’un préfixe d’algorithme en tête comme « sha256- » ou « sha256= ». Ainsi, « AB:CD:EF » et « abcdef » sont considérés comme égaux, tout comme « sha256=2cf24d… » (le format de GitHub) et « 2cf24d… ». La longueur de la valeur normalisée permet ensuite d’estimer l’algorithme : 32 caractères hexadécimaux pour MD5, 40 pour SHA-1, 64 pour SHA-256, 96 pour SHA-384 et 128 pour SHA-512. Cette détection reste une probabilité, car SHA3-256 ou BLAKE2s produisent eux aussi 64 caractères.
La comparaison est effectuée en temps constant : l’outil parcourt tous les caractères au lieu de s’arrêter au premier écart, une précaution classique pour ne pas révéler, par la durée du calcul, l’endroit où deux secrets diffèrent. Lorsque les valeurs ne correspondent pas, la position du premier caractère différent est indiquée, ce qui aide à repérer une copie tronquée ou une erreur de sélection. Des longueurs différentes signalent souvent deux algorithmes différents, par exemple un SHA-1 comparé à un SHA-256. Une correspondance prouve seulement que le fichier est identique à celui qui a servi à produire la référence : la confiance dépend de la source de cette référence, idéalement une page HTTPS officielle ou un fichier signé.
Saisissez dans le premier champ l’empreinte officielle ou attendue, avec ou sans séparateurs ni préfixe.
Ajoutez dans le second champ l’empreinte que vous avez calculée ou reçue.
L’outil indique si les deux valeurs correspondent, l’algorithme probable d’après la longueur et, en cas d’écart, la position de la première différence.
Collez la valeur publiée sur la page de téléchargement (Ubuntu, VeraCrypt, Python…) et celle obtenue avec sha256sum ou Get-FileHash. PowerShell affiche l’empreinte en majuscules et la page en minuscules : l’outil compare sans tenir compte de la casse.
Les navigateurs et OpenSSL affichent souvent l’empreinte SHA-256 d’un certificat sous la forme « AB:CD:… ». Comparez-la à une valeur sans séparateurs issue d’un fichier de configuration ou transmise par un collègue pour confirmer qu’il s’agit du même certificat.
Pendant un débogage, comparez l’en-tête X-Hub-Signature-256 de GitHub, préfixé par « sha256= », avec le HMAC recalculé de votre côté : le préfixe est ignoré automatiquement.
Entrée
Première empreinte : AB:CD:EF ; seconde : abcdefRésultat
Correspondance : oui. Valeurs normalisées : abcdef et abcdef.Calculez l’empreinte du fichier avec l’algorithme indiqué par l’éditeur, par exemple avec sha256sum sous Linux, shasum -a 256 sous macOS, Get-FileHash sous Windows ou le générateur de hash. Collez ensuite cette valeur et la valeur officielle dans les deux champs. Si elles correspondent, votre fichier est identique à celui publié.
Pas pour un hash hexadécimal : « A1B2 » et « a1b2 » représentent les mêmes octets, c’est pourquoi PowerShell (majuscules) et sha256sum (minuscules) donnent des résultats équivalents. En Base64, en revanche, majuscules et minuscules codent des valeurs différentes. Comparez donc de préférence la forme hexadécimale.
La longueur est le meilleur indice : 32 caractères hexadécimaux pour MD5, 40 pour SHA-1, 64 pour SHA-256, 96 pour SHA-384 et 128 pour SHA-512. Ce n’est pas une certitude, car d’autres algorithmes produisent les mêmes longueurs (SHA3-256 donne aussi 64 caractères). Le nom du fichier (SHA256SUMS) ou la documentation de l’éditeur lèvent le doute.
Votre fichier diffère de celui qui a servi à calculer la référence : téléchargement interrompu, fichier corrompu, mauvaise version ou modification malveillante. Vérifiez d’abord que vous comparez le bon fichier avec le même algorithme, puis retéléchargez depuis la source officielle. N’exécutez pas un fichier dont l’empreinte ne correspond pas.
Une comparaison classique s’arrête au premier caractère différent, et le temps de réponse peut alors révéler combien de caractères sont corrects. C’est un risque réel côté serveur pour les signatures HMAC ou les jetons, d’où l’usage de crypto.timingSafeEqual ou hmac.compare_digest. L’outil applique la même bonne pratique, même si le risque est négligeable dans votre propre navigateur.
Non, elle prouve que votre fichier est identique à celui de la référence, pas que ce dernier est sain. Si le site et son checksum ont été compromis ensemble, les deux valeurs correspondront quand même. Une signature GPG ou Sigstore vérifiée avec la clé de l’éditeur apporte cette garantie supplémentaire.
Outils associés
Des outils similaires ou complémentaires à celui-ci.
Calculez en une fois les empreintes MD5, SHA-1, SHA-256, SHA-384 et SHA-512 d’un texte ou d’un fichier.
Calculez un HMAC SHA-1, SHA-256, SHA-384 ou SHA-512 en hex ou Base64 et vérifiez une signature de webhook.
Décodez un certificat X.509 ou une CSR au format PEM : sujet, émetteur, dates, SAN, clé publique et empreinte SHA-256.
Distinguez hash, chiffrement et signature, puis utilisez les empreintes pour vérifier une égalité ou l’intégrité de données sans leur attribuer de fausses garanties.
Distinguez chiffrement, hachage, HMAC et dérivation de clé pour choisir le bon mécanisme selon le besoin : confidentialité, intégrité, authentification ou stockage de mots de passe.
Comprenez comment OAuth 2.0, PKCE, JWT, JWK et JWKS s’articulent sans les confondre : autorisation, jetons, clés publiques et vérification.
Comprenez comment SRI utilise une empreinte cryptographique pour vérifier qu’un script ou une feuille de style externe correspond au fichier attendu.