Mode d’emploi
- Collez un seul hachage. Retirez les étiquettes comme 0x, sha256= ou sha384-, mais gardez les hachages de mots de passe entiers, y compris un $, une { ou un * initial.
- Lisez le résultat : la forme détectée et sa taille en bits, puis les algorithmes possibles, les plus probables étant signalés par « Le plus probable ». Le facteur de coût de bcrypt, ou le nombre d’itérations de sha256crypt, sha512crypt et PBKDF2, s’affiche lorsque la chaîne le contient.
- Pour les candidats MD5, SHA-1, SHA-256, SHA-512, CRC-32 et CRC-32C, « Ouvrir l’outil » vous mène au calculateur correspondant.
- Si vous connaissez ou soupçonnez le texte d’origine, saisissez-le dans « Vérifier avec un texte » pour voir quel algorithme reproduit le hachage.
Comment un hachage est identifié
Chaque algorithme de hachage produit une sortie de taille fixe, et l’hexadécimal utilise deux caractères par octet : la longueur d’une chaîne hexadécimale constitue donc l’indice le plus solide. L’outil vérifie aussi le jeu de caractères et recherche les préfixes que les formats de hachage de mot de passe placent en tête.
| Caractères hexa | Bits | Algorithmes courants |
|---|---|---|
| 8 | 32 | CRC-32, CRC-32C et Adler-32 |
| 32 | 128 | MD5, NTLM et MD4 |
| 40 | 160 | SHA-1 et RIPEMD-160 |
| 56 | 224 | SHA-224 et SHA3-224 |
| 64 | 256 | SHA-256, SHA3-256, BLAKE2s et Keccak-256 |
| 96 | 384 | SHA-384 et SHA3-384 |
| 128 | 512 | SHA-512, SHA3-512, BLAKE2b et Whirlpool |
La longueur seule ne permet pas de trancher, car un bon hachage ressemble à des données aléatoires et ne porte aucune marque de son algorithme. Une valeur de 32 caractères peut être un MD5, un MD4 ou un NTLM, que Windows utilise pour les mots de passe des comptes (MD4 du mot de passe en UTF-16LE). L’outil classe donc les candidats selon leur fréquence : MD5 en premier, ou NTLM en premier lorsque le hachage est entièrement en majuscules, comme l’affichent certains outils d’extraction de mots de passe Windows. De même, le Keccak-256 d’Ethereum et le SHA3-256 normalisé ne diffèrent que par le remplissage, et tous deux donnent 64 caractères hexadécimaux.
Empreintes Base64 et formats de hachage de mot de passe
Certains systèmes écrivent les empreintes en Base64 plutôt qu’en hexadécimal : 24 caractères pour 16 octets (MD5, comme dans l’en-tête Content-MD5), 28 pour SHA-1, 44 pour SHA-256, 64 pour SHA-384 (comme dans les attributs Subresource Integrity) et 88 pour SHA-512. L’outil reconvertit la longueur en octets et propose les mêmes candidats. L’absence de remplissage et les caractères compatibles URL sont acceptés, mais retirez d’abord un éventuel préfixe comme sha384-.
Les formats de hachage de mot de passe se décrivent eux-mêmes : un préfixe désigne l’algorithme, et le sel ainsi que les paramètres de coût sont inscrits dans la chaîne. Les formats modernes sont salés et volontairement lents ; les formats LDAP et MySQL des deux dernières lignes sont des constructions SHA-1 rapides, et seul {SSHA} ajoute un sel.
| Commence par | Format | Usage typique |
|---|---|---|
$2a$, $2b$, $2y$ | bcrypt, toujours 60 caractères ; les deux chiffres suivants donnent le facteur de coût, et chaque palier double le travail | Frameworks web, password_hash() de PHP |
$argon2id$ | Argon2id avec paramètres de mémoire (m), de temps (t) et de parallélisme (p) | Applications modernes ; recommandé par l’OWASP |
$6$, $5$ | sha512crypt, sha256crypt, avec rounds= facultatif | /etc/shadow sous Linux |
$y$ | yescrypt | /etc/shadow sur de nombreuses distributions Linux actuelles |
$1$, $apr1$ | md5crypt, Apache MD5 | Anciens systèmes Unix, .htpasswd |
pbkdf2_sha256$ | PBKDF2-SHA256 avec son nombre d’itérations | Django |
{SHA}, {SSHA} | SHA-1, SHA-1 salé | Annuaires LDAP |
* et 40 chiffres hexadécimaux | MySQL 4.1+ PASSWORD() | Tables d’utilisateurs MySQL |
Identifier un hachage n’est pas le casser
Un hachage est à sens unique. L’identificateur n’examine que la forme de la chaîne : il ne peut ni révéler, ni déchiffrer, ni rechercher l’entrée, et il n’envoie rien à un serveur ni à une base de données en ligne. La seule façon de retrouver une entrée consiste à deviner des candidats et à hacher chacun d’eux, ce que font les outils de récupération de mots de passe comme hashcat et John the Ripper une fois l’algorithme connu. Les formats salés et lents comme bcrypt et Argon2 existent précisément pour rendre ces tentatives coûteuses. Ne testez que des hachages sur lesquels vous êtes autorisé à travailler.
Vérifier avec un texte teste une hypothèse précise. L’outil hache le texte saisi, en UTF-8, avec MD5, SHA-1, SHA-256, SHA-384, SHA-512, CRC-32 et CRC-32C, et indique quel résultat est égal au hachage, que celui-ci soit écrit en hexadécimal (minuscules ou majuscules) ou en Base64. Il ne peut pas confirmer les hachages de mots de passe salés ni les HMAC, car ceux-ci dépendent aussi d’un sel ou d’une clé secrète ; pour une valeur calculée avec une clé, utilisez le générateur HMAC avec cette clé.
Questions fréquentes
Cet outil peut-il retrouver le texte ou le mot de passe d’origine ?
Non. Il indique seulement l’algorithme probable. Les fonctions de hachage ne sont pas réversibles ; les « déchiffreurs de hachage » en ligne recherchent la valeur dans des tables de hachages de mots courants et de mots de passe divulgués, ce qui ne fonctionne que pour des entrées faibles et non salées.
Pourquoi plusieurs algorithmes sont-ils proposés pour un même hachage ?
Des algorithmes de même taille de sortie produisent des chaînes de même longueur et de même jeu de caractères, et rien dans le hachage n’indique lequel a été utilisé. Le candidat le plus probable apparaît en premier, selon la fréquence d’utilisation de chaque algorithme. Pour en être certain, recalculez le hachage à partir d’une entrée connue.
Une chaîne hexadécimale de 32 caractères est-elle toujours un MD5 ?
Généralement, mais pas toujours. NTLM, MD4, MD2 et RIPEMD-128 donnent la même longueur, tout comme n’importe quelle valeur de 128 bits écrite en hexadécimal, par exemple un UUID sans tirets ou un jeton aléatoire. C’est le contexte qui tranche : un hachage de mot de passe Windows signifie NTLM, une somme de contrôle de fichier signifie MD5.
Pourquoi « Vérifier avec un texte » ne trouve-t-il aucune correspondance ?
echo en ajoute un, sauf si vous utilisez echo -n ou printf), des espaces ou une casse différents, un texte haché dans un autre encodage que UTF-8, un sel ou une clé comme dans les hachages de mots de passe et les HMAC, ou un algorithme que la vérification ne couvre pas, comme SHA-3, BLAKE2 ou NTLM.Puis-je coller ici un hachage de mot de passe sans risque ?
L’analyse s’exécute entièrement dans votre navigateur, et le hachage n’est ni transmis ni stocké. Cependant, un hachage de mot de passe issu d’un système réel permet à quiconque le possède de tester des hypothèses hors ligne : traitez donc ces hachages comme des données sensibles et tenez-les à l’écart des tickets, des discussions et des captures d’écran.