Hash SHA-256 — qu'est-ce que c'est et comment prouver qu'un fichier n'a pas été modifié

Vous recevez un contrat par e-mail aujourd'hui. Dans six mois, quelqu'un présente « le même » fichier en réunion — ou dans un litige. Comment prouver que c'est exactement le même document, sans une seule virgule modifiée ? La réponse utilisée par les experts judiciaires, les tribunaux et les systèmes bancaires du monde entier tient en un mot : le hash.

Ce guide explique, sans jargon inutile, ce qu'est le hash SHA-256, pourquoi il fonctionne comme l'empreinte digitale d'un fichier, comment calculer le hash d'un PDF (sous Windows, sur Mac et directement dans le navigateur) et comment l'utiliser au quotidien quand on travaille avec des documents importants.

Qu'est-ce qu'un hash, en langage clair

Un hash est le résultat d'un calcul mathématique effectué sur le contenu d'un fichier. L'algorithme lit tous les bits du document — chaque lettre, chaque espace, chaque pixel — et produit une séquence de longueur fixe, comme celle-ci :

9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08

Avec le SHA-256 (Secure Hash Algorithm de 256 bits), cette séquence fait toujours 64 caractères, que le fichier pèse 2 Ko ou 2 Go.

Quatre propriétés rendent le hash si utile :

• Déterministe : le même fichier produit toujours le même hash — aujourd'hui, demain, sur n'importe quel ordinateur du monde ;
• Effet avalanche : changer un seul caractère du document — une virgule, un espace — produit un hash complètement différent, méconnaissable par rapport au précédent ;
• À sens unique : il est impossible de reconstruire le document à partir du hash. Le hash ne révèle rien du contenu — c'est pourquoi il peut être partagé librement, même pour des documents confidentiels ;
• Résistant aux collisions : en pratique, il est calculatoirement irréalisable de fabriquer deux fichiers différents ayant le même hash SHA-256.

C'est pourquoi le hash est appelé l'empreinte digitale du fichier : il identifie ce contenu de façon unique, sans l'exposer.

À quoi sert le hash en pratique

Si vous travaillez dans un cabinet ou un bureau — juridique, comptable, RH, ingénierie — le hash résout des problèmes très concrets :

1. Prouver qu'un document n'a pas été modifié. Vous avez enregistré le hash du contrat le jour de la signature ? N'importe qui peut recalculer le hash de la copie présentée plus tard et vérifier. Hash identique = document identique, bit à bit. Hash différent = il y a eu modification.
2. Vérifier les versions avant de comparer. Avant de passer du temps à comparer deux versions d'un contrat, le hash répond en quelques secondes si les fichiers sont réellement différents — deux PDF avec des noms différents peuvent être le même document, et inversement.
3. Chaîne de traçabilité des pièces jointes. En divisant un grand PDF en parties pour le déposer dans des systèmes avec limite de taille, le hash du fichier d'origine atteste de quel document intègre les parties proviennent.
4. Valider les téléchargements et les échanges de fichiers. Vous avez reçu un fichier par lien, clé USB ou WhatsApp ? Le hash confirme qu'il est arrivé complet et sans corruption.
5. Documenter le travail de révision. Le rapport de comparaison de RoseLab imprime le hash SHA-256 des deux fichiers comparés — le destinataire du rapport peut vérifier que les versions analysées sont exactement celles-là.

Comment calculer le hash SHA-256 d'un fichier

Dans le navigateur, sans rien installer (le plus rapide)

Le vérificateur d'intégrité de RoseLab calcule le hash SHA-256 de n'importe quel fichier — PDF, Word, image, tableur — directement dans le navigateur :

1. Ouvrez le vérificateur (aucun compte nécessaire) ;
2. Glissez un ou plusieurs fichiers sur la page ;
3. Le hash de chacun apparaît instantanément, avec un bouton de copie.

Important : le calcul se fait dans votre propre navigateur, grâce à la technologie Web Crypto. Le fichier n'est envoyé à aucun serveur — ce qui fait toute la différence quand le document est confidentiel.

Sous Windows (ligne de commande)

Ouvrez l'invite de commandes et utilisez l'utilitaire natif certutil :

certutil -hashfile "C:\chemin\contrat.pdf" SHA256

Ou, dans PowerShell :

Get-FileHash "C:\chemin\contrat.pdf" -Algorithm SHA256

Sur Mac et Linux

Dans le Terminal :

shasum -a 256 contrat.pdf

Les trois méthodes produisent exactement le même résultat pour le même fichier — c'est toute la beauté du standard : n'importe qui, sur n'importe quel système, arrive au même hash de manière indépendante.

Comment vérifier si un PDF a été modifié (pas à pas)

Scénario courant : vous avez le hash enregistré d'un document (dans un rapport, un ancien e-mail, un compte rendu) et quelqu'un présente un fichier en affirmant qu'il s'agit de ce document.

1. Ouvrez le vérificateur d'intégrité ;
2. Glissez-y le fichier présenté ;
3. Collez le hash enregistré dans le champ de vérification ;
4. Le résultat est immédiat : vert — le fichier est identique, bit à bit, à l'original ; rouge — le contenu ne correspond pas : le fichier a été modifié ou ce n'est pas le même document.

Il n'y a ni entre-deux ni « presque identique » : par l'effet avalanche, toute altération — visible ou invisible — change complètement le hash. Si la vérification échoue et que vous voulez savoir ce qui a changé, l'étape suivante est d'ouvrir les deux versions dans le comparateur de PDF avec la mise en évidence automatique des différences activée.

Ce que le hash prouve — et ce qu'il ne prouve pas

Voici la partie que beaucoup confondent, et qu'il vaut de l'or de connaître :

Le hash prouve l'intégrité : que le contenu du fichier est identique à ce qui existait au moment où le hash a été enregistré. Sur ce point, il est pratiquement incontestable — c'est le même mécanisme utilisé en criminalistique numérique.

Le hash ne prouve ni la paternité ni la date. Il ne dit pas qui a créé le document, ni quand. Pour la paternité, il existe la signature électronique (signature électronique qualifiée au sens du règlement eIDAS en Europe) ; pour la date, il existe l'horodatage qualifié. Les trois mécanismes se complètent — nous expliquons les différences en détail dans le guide sur la cryptographie des documents : hash, signature numérique et horodatage.

C'est pourquoi la façon honnête d'utiliser le hash sur des documents de travail est la suivante : enregistrez le hash tôt, dans un endroit difficile à contester — dans le corps d'un e-mail envoyé à l'autre partie, dans un rapport partagé, dans un compte rendu. Plus l'enregistrement est précoce et public, plus la preuve d'intégrité est solide.

Le hash et le rapport de comparaison de RoseLab

Quand vous comparez deux versions d'un document dans RoseLab et générez le rapport, celui-ci contient :

• L'identification des deux fichiers (nom et nombre de pages) ;
• Le hash SHA-256 de chaque version ;
• La date et l'heure de la comparaison ;
• La liste complète des passages supprimés et ajoutés.

Avec une instruction imprimée : ne faites pas confiance, vérifiez — toute personne recevant le rapport peut glisser les fichiers originaux dans le vérificateur public et recalculer les hashs elle-même. C'est une vérification indépendante : pas besoin de faire confiance à RoseLab, ni à l'expéditeur du rapport — les mathématiques se vérifient toutes seules.

Ce flux est particulièrement utile pour relire des contrats avant signature, contrôler des versions corrigées de documents officiels et documenter toute révision qu'un tiers auditera plus tard — la méthode complète est dans le flux complet de comparaison de documents.

Bonnes pratiques pour les cabinets et bureaux

• Enregistrez le hash des documents importants dès leur réception — cela prend quelques secondes et crée un jalon d'intégrité ;
• Incluez le hash dans l'e-mail quand vous envoyez des versions finales (« ci-joint le contrat, SHA-256 : abc123... ») — l'autre partie peut confirmer la réception intègre ;
• Archivez le rapport de comparaison avec les fichiers comparés — les trois ensemble racontent l'histoire complète ;
• Avant de manipuler un fichier (fusionner, diviser, compresser ou supprimer des pages), enregistrez le hash de l'original : le fichier résultant aura naturellement un autre hash, et vous voudrez pouvoir prouver d'où il vient ;
• Méfiez-vous des « copies conformes » sans vérification — le contrôle prend moins d'une minute et élimine le doute.

Questions fréquentes

Le hash SHA-256, c'est la même chose que le chiffrement ? Le hash est une fonction cryptographique, mais il ne « cache » pas le document — il l'identifie. Le chiffrement de confidentialité (chiffrer/déchiffrer) est un autre mécanisme, expliqué dans notre guide de cryptographie des documents.

Deux fichiers différents peuvent-ils avoir le même hash ? En théorie mathématique, les collisions existent ; en pratique, aucune collision SHA-256 n'a jamais été trouvée, et en produire une dépasse les capacités de calcul connues. C'est le standard utilisé par les banques, les blockchains et la criminalistique numérique.

Renommer le fichier change-t-il le hash ? Non. Le hash est calculé sur le contenu, pas sur le nom. contrat-final.pdf et version-2.pdf avec le même contenu ont le même hash.

Imprimer puis rescanner conserve-t-il le hash ? Non — le fichier scanné est un nouveau document (nouvelles images, nouveaux octets) et aura un hash complètement différent, même si le texte semble identique. Le hash vérifie des fichiers numériques, pas du papier.

Le vérificateur de RoseLab conserve-t-il mes fichiers ? Non. Le calcul du hash se fait localement, dans votre navigateur. Aucun fichier n'est envoyé ni stocké sur des serveurs.

Puis-je vérifier des fichiers qui ne sont pas des PDF ? Oui. Le vérificateur accepte tous les formats : Word, Excel, images, vidéos, ZIP. Le hash est un concept universel de fichier, pas propre au PDF.