Identification de hachage
Reconnaître un hachage à son format. L’analyse se fait dans votre navigateur, rien n’est envoyé.
Rien ne quitte votre navigateur : le hachage est analysé sur cet appareil et n’est jamais envoyé ni recherché.
Ce qu’il indique
Collez un hachage et l’outil nomme l’algorithme dont il provient le plus probablement, d’après sa longueur, son jeu de caractères et d’éventuels marqueurs de format. Certains formats sont sans équivoque : bcrypt, Argon2 et les schémas crypt d’Unix portent un préfixe comme $2b$ ou $argon2id$. D’autres ne se reconnaissent qu’à leur forme : une chaîne hexadécimale de 32 caractères peut être du MD5, du NTLM ou quelques algorithmes moins courants, et l’outil les énumère tous.
Il reconnaît un hachage, il ne l’inverse pas. Rien de ce que vous collez n’est envoyé ni recherché dans une base de données.
Pourquoi l’algorithme compte
Si vous trouvez ces hachages dans votre propre application ou base de données, l’algorithme vous dit si les mots de passe sont stockés en sécurité. Les hachages rapides comme MD5, SHA-1 et le simple SHA-256 sont conçus pour la vitesse, précisément ce que recherche un attaquant qui teste des milliards de mots de passe. Un hachage de mot de passe doit être lent et salé : bcrypt, scrypt ou Argon2.
Questions fréquentes
Pouvez-vous me donner la valeur d’origine ?
Non. Un hachage est à sens unique par conception, et cet outil identifie seulement l’algorithme. Il n’inverse jamais un hachage et ne le recherche pas.
Pourquoi plusieurs algorithmes ?
Beaucoup d’algorithmes produisent une sortie de même longueur et de même jeu de caractères. Une chaîne hexadécimale de 32 caractères correspond par exemple à MD5, NTLM et d’autres. Ce sont les marqueurs de format (comme le $2b$ de bcrypt) qui permettent une réponse exacte.
J’ai trouvé des hachages SHA-256 de mots de passe. Est-ce acceptable ?
Le simple SHA-256 est trop rapide pour des mots de passe. Utilisez un algorithme lent et salé comme bcrypt, scrypt ou Argon2, et faites migrer les hachages existants à la prochaine connexion des utilisateurs.
Besoin d’aller plus loin qu’un outil ?
Un outil vérifie un point précis. Nos consultants examinent l’ensemble.
Développement sécuriséArticles liés
-
Les en-têtes de sécurité qui comptent, et ceux à abandonner
Guide pratique : CSP avec nonces, HSTS et preload, frame-ancestors, Referrer-Policy, Permissions-Policy, COOP, avec des exemples et ce qu’il faut retirer.
-
Avant de connecter les données de l'entreprise à un assistant IA
Checklist IT avant de connecter un LLM : classification des données, entrées hostiles, accès, journalisation, revue du fournisseur, responsabilité.
-
Concevoir et tester des téléversements de fichiers sécurisés
Une checklist de contrôles pour les fonctions de téléversement, tirée de la cheat sheet OWASP, avec un tableau de tests à exécuter sur chaque endpoint.