Générateur de hash SHA-256, SHA-384, SHA-512 et SHA-1

Qu’est-ce qu’un générateur de hash ?

Un générateur de hash transforme n’importe quel texte — une phrase, un extrait de code, le contenu d’un fichier collé — en une chaîne de caractères de longueur fixe appelée empreinte ou digest. La transformation ne va que dans un sens : on obtient l’empreinte à partir du texte, jamais l’inverse. Deux textes identiques produisent toujours la même empreinte, et le moindre changement, même une seule lettre, en produit une complètement différente.

On s’en sert pour vérifier qu’un fichier téléchargé n’a pas été altéré en route, en comparant l’empreinte affichée sur la page d’origine à celle calculée localement ; pour repérer si deux versions d’un même document texte diffèrent sans les relire ligne par ligne ; ou simplement pour savoir à quoi ressemble la somme de contrôle SHA-256 collée dans un README. Rien de tout cela ne nécessite d’envoyer le texte où que ce soit : le calcul tient entièrement dans le navigateur.

Comment ça marche

1. Choisissez un algorithme. SHA-256 est sélectionné par défaut ; SHA-384, SHA-512 et SHA-1 sont à un clic si c’est ce que la somme qu’on vous a communiquée utilise. SHA-1 porte l’étiquette « cassé ».
2. Tapez ou collez le texte. L’empreinte se recalcule à chaque frappe dans la grande zone de saisie, sans bouton « générer » à cliquer.
3. Lisez le résultat, comparez-le si besoin. Le hash hexadécimal apparaît dans la zone de sortie, avec un bouton Copier ; collez une somme reçue dans le champ de comparaison pour savoir immédiatement si elle correspond.

Ce qu’une empreinte garantit réellement

La longueur de sortie ne bouge jamais avec la longueur de l’entrée. Un seul caractère haché en SHA-256 donne 64 caractères hexadécimaux, soit 256 bits ; un texte d’un million de caractères en donne exactement autant. C’est ce qui distingue un hash d’une compression : rien n’est raccourci puis restituable, et un million de caractères ne ressort jamais de 64. SHA-384 produit 96 caractères, SHA-512 en produit 128, et SHA-1, plus court, 40 caractères pour ses 160 bits.

L’effet avalanche n’est pas qu’un argument marketing ici : mesuré sur 200 paires de textes ne différant que d’un caractère, changer cette unique lettre inverse en moyenne 50,0 % des 256 bits de sortie en SHA-256. « hello » donne 2cf24dba5fb0a30e… et « hellp », une seule lettre plus loin, donne fdd7585e08c4e2af… : aucun préfixe commun, aucun indice visuel du texte d’origine.

Le calcul vient du SubtleCrypto du navigateur, pas d’un algorithme réécrit à la main pour l’occasion. Ses résultats ont été recoupés avec le module crypto de Node, une implémentation entièrement distincte, sur 48 empreintes couvrant les quatre algorithmes et des entrées en emoji, en arabe, en japonais et une chaîne de 10 000 caractères : toutes concordent. Les vecteurs de test publiés concordent aussi, par exemple le SHA-256 de « abc » vaut ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad ; et c’est déterministe, la même chaîne hachée 50 fois de suite a donné exactement un seul résultat distinct.

Pas de MD5 ici, et SHA-1 sous étiquette

Un hash rapide est le mauvais outil pour un mot de passe, et il faut le dire sans détour. SHA-256 est conçu pour être calculé vite, ce qui est précisément ce que veut quiconque teste des milliards de mots de passe par seconde sur une liste volée. Stocker des mots de passe demande un algorithme délibérément lent et salé, bcrypt, scrypt ou argon2 ; ne stockez jamais un simple SHA-256 de mot de passe, ce générateur n’est pas fait pour ça.

MD5 n’apparaît pas dans la liste des algorithmes, et ce n’est pas un oubli : la spécification Web Crypto ne l’a jamais inclus, et appeler crypto.subtle.digest sur « MD5 » lève une erreur dans le navigateur lui-même. Le module crypto de Node, de son côté, propose encore md5 pour des raisons de compatibilité historique, mais cet outil n’a pas réécrit un MD5 à la main pour capter les recherches sur ce mot-clé : il hérite simplement du refus du navigateur de fournir une primitive cassée sous un nom rassurant.

SHA-1 reste proposé, avec l’étiquette « cassé » bien visible, parce que vérifier une vieille somme de contrôle publiée quelque part reste un besoin réel, mais il ne prouve plus que deux fichiers sont identiques : en 2017, des chercheurs ont publié deux fichiers PDF différents partageant la même empreinte SHA-1. Hacher n’est pas chiffrer non plus : il n’y a pas de clé, rien à déchiffrer, et pour une entrée courte ou courante, une empreinte ne se casse pas par le calcul, elle se retrouve dans une table précalculée par quelqu’un d’autre. Et ce générateur hache du texte, pas des fichiers : pour vérifier un téléchargement, collez son contenu ou passez par un outil en ligne de commande capable de lire le fichier lui-même.

Pourquoi c’est gratuit

Tout le calcul se fait dans votre navigateur, avec l’API SubtleCrypto déjà intégrée : il n’y a rien à faire tourner sur un serveur, donc rien à facturer pour cette page. Le texte que vous tapez ne quitte jamais votre machine, il n’y a pas de compte à créer et rien n’est conservé d’une visite à l’autre : rechargez la page, la zone de saisie est vide.

Pas de filigrane sur le résultat, pas de version payante planquée derrière une limite de caractères, pas de bandeau vous poussant vers un plan pro. C’est le principe de tous les outils de FreeToGenerate.com : un calcul qui tenait déjà dans le navigateur, laissé aussi simple qu’il l’était.