Somme de contrôle & vérification

À propos de la vérification d'une somme de contrôle

Une page de téléchargement affiche une longue suite de lettres et de chiffres à côté du fichier. Elle est là pour que vous puissiez prouver que ce qui est arrivé sur votre disque est bien ce que l'éditeur a mis en ligne : pas tronqué, pas corrompu, pas remplacé par autre chose.

Sous Windows la commande est certutil -hashfile lefichier SHA256. Ensuite il faut comparer une chaîne de 64 caractères à une autre chaîne de 64 caractères à l'œil, ce qui est exactement le genre de tâche que les gens ratent.

Déposez le fichier. Les trois sommes apparaissent. Collez celle qu'on vous a donnée et la page répond oui ou non.

Comment l'utiliser

• Cliquez sur Cliquez pour choisir ou déposez votre fichier sur la page
• Attendez la lecture — une grosse ISO prend un moment, et la progression est affichée
• Collez la somme de la page de téléchargement dans le champ
• Lisez la réponse : un Correspond vert ou un Ne correspond pas rouge

Vous n'avez pas besoin de savoir de quel algorithme il s'agit

C'est ce qui rend l'opération rapide. Les pages de téléchargement impriment très souvent une somme sans préciser de quel type elle est.

Elles n'en ont pas besoin, car la longueur le dit : 32 caractères, c'est MD5 ; 40, SHA-1 ; 64, SHA-256. Les trois sont donc calculées dans la même passe, le champ accepte n'importe laquelle, et la page détermine seule laquelle vous avez collée et compare avec celle-là. Rien à sélectionner.

Vous pouvez aussi coller la ligne entière. SHA256: 9f86d081… ubuntu.iso fonctionne — la somme y est repérée.

N'importe quelle taille de fichier

Le fichier est lu par tranches et les sommes se construisent au fur et à mesure, la mémoire reste donc stable. Une image disque de 5 Go fonctionne comme un fichier texte de 5 Ko.

C'est aussi pourquoi la lecture prend un moment sur un gros fichier : chaque octet doit être lu sur votre disque. Rien n'est envoyé en ligne — la barre de progression, c'est votre propre disque.

Ce qu'une correspondance prouve, et ce qu'elle ne prouve pas

Une correspondance signifie que le fichier sur votre disque est, octet pour octet, celui à partir duquel la somme a été calculée. Le téléchargement est complet, rien n'a été corrompu ni modifié en chemin.

Une correspondance ne signifie pas que le fichier est sûr. Qui peut modifier le fichier peut généralement modifier la somme imprimée à côté. Une somme prouve que le fichier correspond à la page ; elle ne prouve pas que la page est honnête. Pour cela il faut une signature, pas une empreinte.

MD5 et SHA-1 ne sont plus sûrs — il est possible de construire deux fichiers différents avec le même MD5. Ils restent parfaitement valables pour détecter un téléchargement abîmé, ce pour quoi la plupart des sommes sont publiées, donc ils sont affichés. Quand une page propose SHA-256, prenez celle-là.

À quoi cela sert

• Vérifier une ISO Linux ou une image Windows avant de l'installer
• Confirmer qu'un gros téléchargement s'est bien terminé sur une connexion instable
• Vérifier qu'un installeur est bien celui publié par l'éditeur
• Contrôler qu'un fichier copié sur une clé USB ou un NAS est arrivé intact
• Confirmer qu'une sauvegarde ou une archive est identique à l'original
• Prouver que deux fichiers sont identiques sans ouvrir ni l'un ni l'autre

Bon à savoir

• Rien n'est envoyé en ligne. Le fichier est lu sur votre appareil et ne le quitte jamais
• Le fichier est seulement lu, jamais modifié
• MD5, SHA-1 et SHA-256 sont produits en une seule passe sur le fichier
• SHA-384 et SHA-512 ne sont pas proposés : ils demandent une arithmétique 64 bits lente dans un navigateur sur un fichier de plusieurs gigaoctets, et les pages de téléchargement ne les publient presque jamais. Pour du texte, le Générateur de hash a les cinq
• Majuscules et minuscules n'ont pas d'importance — la comparaison les ignore
• Fonctionne dans tous les navigateurs, et sur téléphone pour des fichiers plus petits

Outils liés

• Générateur de hash — les mêmes empreintes pour du texte saisi ou collé
• Détecteur de doublons — trouver des fichiers identiques par leur contenu
• Comparer deux dossiers — vérifier un dossier entier plutôt qu'un fichier
• Diviser et rassembler de gros fichiers — vérifier un fichier après l'avoir reconstitué
• Zip et dézip — décompresser ce que vous venez de vérifier