Se connecter Commencer
Outil gratuit

Somme de contrôle d’un fichier

Un fichier remplacé ressemble à l’original : même nom, même taille, même icône. Seule la somme de contrôle, une courte empreinte du contenu, permet de les distinguer. Déposez le fichier et comparez la somme à celle publiée par son auteur : si elle correspond, c’est bien ce fichier ; sinon, c’est un autre.

Calculé dans le navigateur : le fichier n’est envoyé nulle part.

Déposez un fichier ici ou

Le fichier est lu dans la mémoire de l’onglet. Le SHA-256 est calculé ; le SHA-1 et le SHA-512 sont accessibles via le bouton à côté du résultat.

Comment vérifier nos applications

À côté de chaque téléchargement sur le site se trouve un fichier contenant la somme de référence : 404vpn.apk.sha256, tunnel.apk.sha256 et 404vpn-macos.dmg.sha256. Ouvrez celui qu’il vous faut, copiez la ligne dans le champ ci-dessus, déposez le fichier téléchargé : la page vous dira elle-même si les sommes concordent.

C’est aussi la réponse à la question « m’a-t-on glissé un faux APK ? ». Android ne montre aucune différence entre notre fichier et celui d’un tiers portant le même nom, alors que la somme, si.

Limite

La somme est calculée sur le fichier entier, et pour cela le fichier entier est chargé dans la mémoire de l’onglet. Quelques centaines de Mo ne posent aucun problème au navigateur, une image de plusieurs dizaines de Go, si. Pour ces fichiers, la ligne de commande est plus fiable : shasum -a 256 fichier sous macOS et Linux, certutil -hashfile fichier SHA256 sous Windows.

Vous avez téléchargé notre application ?

Comparez la somme et assurez-vous d’avoir bien notre fichier, et non la version reconstruite par quelqu’un d’autre sous le même nom.

Téléchargements de 404 VPN →

Questions fréquentes

guest@404vpn:~$ cat file-hash-faq.md
[01] $ Pourquoi comparer la somme si le fichier vient du site officiel ? ▸
> Parce qu’il y a un chemin entre le site et votre disque : le fichier peut être remplacé par un routeur infecté, un opérateur qui injecte de la publicité, un Wi-Fi public ou un miroir qui « télécharge simplement plus vite ». Le HTTPS protège de beaucoup de choses, mais pas du cas où vous avez téléchargé depuis une autre adresse en la croyant identique. La somme répond à la question sans ambiguïté.
[02] $ Quelle est la bonne somme et où la trouver ? ▸
> Chez l’auteur du fichier. À côté de chacun de nos téléchargements, nous publions un fichier d’extension .sha256 : la référence s’y trouve. Important : prenez la référence auprès d’une source de confiance, et non au même endroit que le fichier suspect. Sinon, le fichier comme la somme à côté peuvent être falsifiés.
[03] $ La somme ne correspond pas : que cela signifie-t-il ? ▸
> Que ce n’est pas le bon fichier. Les causes peuvent être anodines : une autre version, un téléchargement interrompu et donc un fichier incomplet, une archive reconstruite. Mais raisonnez à l’envers : tant que la somme ne concorde pas, considérez le fichier comme étranger et ne l’exécutez pas.
[04] $ Pourquoi SHA-256 et pas MD5 ? ▸
> MD5 est cassé depuis longtemps : trouver un second fichier avec la même somme prend aujourd’hui quelques minutes sur un ordinateur ordinaire, et c’est exactement ainsi que l’on glisse des contrefaçons. Il ne convient pas pour vérifier l’authenticité. SHA-1 tient un peu mieux, mais est lui aussi jugé inutilisable ; nous ne le proposons que pour d’anciens fichiers dont aucune autre somme n’a été publiée.
[05] $ Le fichier ne vous est vraiment pas envoyé ? ▸
> Vraiment pas : la page le lit dans la mémoire de l’onglet et calcule la somme avec le WebCrypto intégré au navigateur. Aucune requête réseau n’est émise, ce que l’on voit dans l’onglet « Réseau » des outils de développement. Envoyer un fichier au serveur d’un tiers pour vérifier s’il a été remplacé serait une drôle d’idée.