Comment vérifier le SHA-256 sur Windows 11/10 | Vérifier l’intégrité des fichiers téléchargés

Lorsque vous téléchargez un logiciel ou un fichier sur Internet, vous êtes-vous déjà demandé si le fichier a été corrompu pendant le transfert, ou pire encore, s’il a été modifié de manière malveillante ? C’est exactement à cela que sert la vérification SHA-256. Cet article explique ce qu’est le SHA-256 et comment vérifier sur Windows que vos fichiers téléchargés sont intacts et n’ont pas été altérés.

Qu’est-ce que le SHA-256 ?

Le SHA-256 est un algorithme de hachage cryptographique qui transforme n’importe quel fichier en une chaîne hexadécimale de 64 caractères (256 bits). Cette chaîne est appelée « empreinte » ou « somme de contrôle ».

Par exemple, le fichier ISO de Windows 11 25H2, une fois passé par le calcul SHA-256, génère une chaîne comme celle-ci (64 caractères au total) :

e6abce9656a638faf9b26cc95bc60d6c696481ff9b6fc482f269debe08d503d7

Cette empreinte fonctionne comme une « carte d’identité » du fichier : chaque fichier possède une empreinte unique. Si le contenu du fichier change ne serait-ce que d’un seul octet, l’empreinte générée sera complètement différente.

Si vous recherchez cette empreinte sur Google, vous découvrirez qu’elle correspond bien au fichier ISO de Windows 11 25H2.

Pourquoi avons-nous besoin de la vérification SHA-256 ?

Microsoft, les grands éditeurs de logiciels et moi-même fournissons des valeurs SHA-256, principalement pour deux raisons :

1. Vérifier l’intégrité du fichier : S’assurer que le fichier n’a pas été corrompu pendant le téléchargement. Les transferts réseau peuvent parfois échouer, surtout pour les fichiers volumineux (comme les ISO Windows). Une image d’installation corrompue peut entraîner l’échec de l’installation du système.
2. Vérifier l’authenticité du fichier : S’assurer que le fichier n’a pas été modifié par un tiers. Des attaquants malveillants peuvent injecter des virus dans des logiciels, puis les diffuser en se faisant passer pour des liens de téléchargement officiels. En vérifiant le SHA-256, vous pouvez confirmer que le fichier téléchargé est identique à celui publié officiellement.

À mon avis, fournir un SHA-256 ou une autre empreinte fiable pour permettre aux utilisateurs de vérifier leurs téléchargements est une attitude responsable.

Je vous conseille de prendre l’habitude de vérifier : après chaque téléchargement important, prenez quelques secondes pour vérifier le SHA-256. Ce petit geste peut vous éviter bien des problèmes.

Ce que vous devez savoir sur le SHA-256

Insensible à la casse : C’est un point souvent mal compris. Les différents logiciels peuvent générer des valeurs SHA-256 avec des casses différentes. Par exemple, PowerShell génère en majuscules + chiffres, tandis que 7-Zip génère en minuscules + chiffres. Mais lors de la vérification, A1B2C3 et a1b2c3 sont équivalents.

Longueur fixe : Quelle que soit la taille du fichier original, le résultat fait toujours 64 caractères.

Méthode 1 : Vérifier le SHA-256 avec PowerShell

Windows 10 et Windows 11 intègrent PowerShell, qui permet de calculer directement l’empreinte SHA-256 d’un fichier sans installer de logiciel tiers.

Si vous n’êtes pas à l’aise avec PowerShell ou si vous trouvez la ligne de commande trop complexe, je vous recommande de passer directement à la méthode 2 avec 7-Zip, dont l’interface graphique est plus intuitive.

Ouvrir PowerShell

Pour ouvrir PowerShell, appuyez sur Win + X, puis sélectionnez « Windows PowerShell » ou « Terminal ». Vous pouvez aussi rechercher « PowerShell » dans le menu Démarrer.

Utiliser la commande Get-FileHash

PowerShell propose la commande Get-FileHash pour calculer l’empreinte d’un fichier. Voici la syntaxe :

Get-FileHash "chemin_du_fichier" -Algorithm SHA256

Exemple concret : Supposons que vous ayez téléchargé Rufus dans le dossier Downloads du disque D :

Get-FileHash "D:\Downloads\rufus-4.9.exe" -Algorithm SHA256

Après exécution, vous verrez un résultat semblable à ceci :

Algorithm       Hash                                                                   Path
---------       ----                                                                   ----
SHA256          497F796E6D07...                                      D:\Dw\rufus-4.9.exe

Comparer manuellement les empreintes

Un point important à noter : la commande Get-FileHash de PowerShell ne fait que générer l’empreinte, elle ne permet pas de la comparer automatiquement. Vous devez :

1. Copier l’empreinte affichée par PowerShell
2. La comparer manuellement avec la valeur SHA-256 fournie sur le site web

Une astuce : utilisez la fonction de recherche Ctrl+F dans Chrome ou Edge, collez l’empreinte générée par PowerShell et vérifiez si elle correspond à celle affichée sur la page. Si elle est trouvée, la vérification est réussie.

Note : Le SHA-256 est insensible à la casse. Par exemple, PowerShell génère en majuscules + chiffres, tandis que 7-Zip génère en minuscules + chiffres, mais A1B2C3 et a1b2c3 sont équivalents.

Vérification réussie : Le fichier n’a pas été altéré, son contenu est intact, vous pouvez l’utiliser en toute confiance.

Vérification échouée : Le fichier est peut-être corrompu ou a été modifié, vous devez le retélécharger. Si l’échec persiste après un nouveau téléchargement, le fichier présente probablement un problème de sécurité, supprimez-le.

Comparaison automatique avec un script PowerShell

Si vous vérifiez souvent des fichiers, vous pouvez utiliser cette commande en une ligne pour une comparaison automatique :

(Get-FileHash "D:\Downloads\rufus-4.9.exe" -Algorithm SHA256).Hash -eq "valeur_SHA256_officielle"

• Si le résultat est True, la vérification est réussie
• Si le résultat est False, la vérification a échoué, le fichier est peut-être corrompu ou altéré

Exemple complet :

(Get-FileHash "D:\Downloads\rufus-4.9.exe" -Algorithm SHA256).Hash -eq "497f796e6d076d4855d697965c04626e6d3624658fce3eca82ab14f7414eede2"

Astuce : Glisser-déposer le fichier

Si vous ne voulez pas saisir le chemin du fichier manuellement :

1. Dans PowerShell, tapez Get-FileHash " (avec le guillemet)
2. Faites glisser le fichier directement dans la fenêtre PowerShell
3. Tapez " -Algorithm SHA256 puis appuyez sur Entrée

Cela évite de saisir le chemin complet du fichier.

Méthode 2 : Vérifier le SHA-256 avec 7-Zip

7-Zip est un logiciel de compression gratuit et open source qui intègre également une fonction de calcul d’empreinte. Si 7-Zip est déjà installé sur votre ordinateur, vous pouvez l’utiliser directement pour vérifier vos fichiers. 7-Zip dispose d’une interface graphique plus intuitive que PowerShell, idéale pour ceux qui ne sont pas familiers avec la ligne de commande.

Je recommande vraiment 7-Zip : c’est un logiciel que j’installe systématiquement depuis des années. Il est open source, gratuit et très performant. Si vous ne l’avez pas encore installé, vous pouvez le télécharger depuis le site officiel : Page de téléchargement officielle de 7-Zip

Calculer le SHA-256 avec 7-Zip

Une fois 7-Zip installé, calculer le SHA-256 d’un fichier est très simple :

1. Dans l’Explorateur de fichiers, localisez le fichier à vérifier
2. Faites un clic droit sur le fichier
3. Sélectionnez 7-Zip → CRC SHA → SHA-256 (vous verrez d’autres options comme MD5, SHA-512, SHA-1, etc., mais nous n’avons besoin que de SHA-256 pour éviter toute erreur de calcul)
   

Après quelques secondes (plus le fichier est volumineux, plus c’est long), 7-Zip affiche une fenêtre avec le résultat :

SHA-256: e6abce9656a638faf9b26cc95bc60d6c696481ff9b6fc482f269debe08d503d7

Comparer les valeurs

Comme avec PowerShell, 7-Zip ne fait que générer l’empreinte. Vous devez la comparer manuellement avec la valeur officielle.

Ma méthode : Je copie la valeur SHA-256 officielle dans le Bloc-notes, puis j’y colle le résultat de 7-Zip et j’utilise Ctrl+F pour vérifier la correspondance. Si ça correspond, le fichier est intact.

Note : Le SHA-256 est insensible à la casse. Par exemple, PowerShell génère en majuscules + chiffres, tandis que 7-Zip génère en minuscules + chiffres, mais A1B2C3 et a1b2c3 sont équivalents.

Que faire en cas d’échec de la vérification ?

Si le SHA-256 calculé ne correspond pas à la valeur officielle, les causes possibles sont :

1. Fichier corrompu pendant le téléchargement : Retéléchargez le fichier et réessayez
2. Lien de téléchargement compromis : Vérifiez que vous avez téléchargé depuis le site officiel ou une source fiable
3. Erreur de copie du SHA-256 : Vérifiez que vous avez bien copié la valeur officielle en entier

Important : Si la vérification échoue après plusieurs téléchargements, n’installez pas le fichier, il présente probablement un risque de sécurité.

Questions fréquentes

1. Quelle est la différence entre SHA-256 et MD5 ?

MD5 est un algorithme de hachage plus ancien qui présente des failles de sécurité (vulnérable aux attaques par collision) et n’est plus recommandé. SHA-256 est plus sûr et constitue la norme actuelle de l’industrie.

2. Combien de temps faut-il pour vérifier un fichier volumineux ?

Cela dépend de la taille du fichier et de la vitesse du disque. En général :

• Un logiciel de quelques dizaines de Mo : quelques secondes
• Un ISO Windows de 4-5 Go : 1-2 minutes (plus long sur un disque dur mécanique)

3. Pourquoi certains sites ne fournissent-ils que le MD5 ?

C’est généralement pour des raisons historiques : les anciens sites utilisent encore MD5. Si possible, privilégiez les sources qui fournissent le SHA-256.

4. La casse n’a vraiment aucune importance ?

Exactement, la représentation hexadécimale du SHA-256 est insensible à la casse. A1B2C3 et a1b2c3 sont strictement équivalents, ne vous souciez pas des différences de casse lors de la comparaison.

---

Quelle que soit la méthode choisie, prendre l’habitude de vérifier vos fichiers vous aidera à éviter d’utiliser des fichiers corrompus ou altérés. Je vous conseille de prendre quelques secondes pour vérifier à chaque fois que vous téléchargez une image Windows, un pilote ou un logiciel important — cette petite habitude pourrait vous éviter de gros ennuis au moment critique.