Calculer des hash

Pas à des fins de sécurité — MD5 est cassé depuis 2004. Il reste correct comme somme de contrôle de contenu rapide (clés de cache, dédup) où vous ne vous souciez pas des collisions adverses. Pour signatures, stockage de mots de passe ou tout ce qui est sensible à la sécurité, utilisez SHA-256 ou mieux.

Chaque fois que l'enjeu est que vous seul ayez pu produire la valeur. Un simple SHA-256 d'un message peut être recalculé par quiconque possède ce message : il prouve que le contenu n'a pas changé mais ne dit rien de qui l'a calculé — un attaquant qui réécrit le message réécrit simplement le hachage à côté. Le HMAC intègre une clé secrète au calcul : le résultat n'est reproductible que par celui qui détient cette clé. C'est pourquoi les webhooks sont signés avec : le destinataire recalcule le HMAC avec le secret partagé et sait que la charge vient bien de l'expéditeur. Si personne ne cherche à falsifier quoi que ce soit, un hachage simple est l'outil juste et le plus simple.

Parce que le hachage est du calcul pur et qu'un téléphone en a moins à dépenser. Le fichier lui-même n'est jamais un problème : il est lu par morceaux et acheminé à travers l'implémentation cryptographique native du navigateur, rien n'est donc conservé en mémoire et la taille du fichier n'a aucune importance pour elle. Ce qui compte, c'est le débit, et un processeur de bureau doté d'une accélération matérielle pour SHA peut être plusieurs fois plus rapide qu'un téléphone sur exactement la même tâche. Une grosse archive qui prend une minute sur un portable peut en prendre plusieurs sur un téléphone, l'écran devant rester allumé tout du long — c'est la raison pratique de faire une vérification de plusieurs gigaoctets sur un ordinateur.

Le fichier est lu en blocs de 4 Mo et haché dans votre navigateur via l'API Web Crypto native, donc même un ISO de 4 Go peut être vérifié par somme de contrôle sans tout charger en mémoire d'un coup. Le résultat correspond à `sha256sum` sous Linux / `shasum -a 256` sous macOS / `certutil -hashfile` sous Windows.

Hex est la représentation traditionnelle (du type que vous voyez sur les pages de téléchargement). Base64 est plus court et est ce que JWT et de nombreuses API web utilisent pour les signatures HMAC. Choisissez ce qu'attend le système avec lequel vous parlez.