ToolAtlasColler une chaîne n’est pas vérifier un ISO. Le SHA-256 fichier est une autre page. Un hash n’est pas un antivirus.
La page de téléchargement affiche une empreinte. Le réflexe cloud (« uploader pour vérifier ») n’a aucun sens : vous enverriez justement le binaire dont vous doutez. Windows8facile, Tech Abeille et la doc Microsoft (Get-FileHash) le traitent comme un geste local. Ici le digest se calcule dans le navigateur, sur cet appareil.
Gmail plafonne les pièces jointes à 25 Mo (Aide Google ; Webrankinfo le reprend). Un installeur de 40 Mo ne passera pas en pièce jointe, et il dépasse aussi le plafond habituel d’environ 32 Mo de ces pages : passez par la ligne de commande.
Fichier vs chaîne
SHA-256 de fichier : cet algorithme seulement. Pas MD5 fichier, pas un scan antivirus. Une empreinte identique dit « même contenu que celui dont on a publié le hash » — si la page qui affiche l’empreinte est déjà compromise, ça ne protège plus. Un ISO de 4 Go : Get-FileHash / certutil -hashfile / sha256sum (Windows8facile ; sous macOS, shasum -a 256).
Hash de texte : SHA-256 (et d’autres) sur une chaîne. Un espace final ou un UTF-8 différent change tout le hex. HMAC + jauge : HMAC. Chiffrer un essai : AES (catégorie Sécurité) — autre job.
Un justificatif de mutuelle ou un PDF CAF trop lourd, ce n’est pas un hash : compresser le PDF (reconstruction JPEG, texte plus sélectionnable).
Ce que la CNIL sépare (empreinte, mot de passe, chiffrement)
La fiche CNIL « Chiffrement, hachage, signature » (mars 2024) et le guide sécurité des données personnelles demandent des algorithmes reconnus : familles SHA-2 / SHA-3 pour le hachage ; bcrypt, scrypt, Argon2 ou PBKDF2 (avec sel) pour stocker un mot de passe ; AES (CCM, GCM…) pour le chiffrement. Elle dit aussi ce qu’il ne faut pas faire : MD5 / SHA-1 comme empreinte de sécurité, et confondre un hash avec de la confidentialité. Une fonction de hachage est conçue pour être rapide : on ne « déchiffre » pas un SHA-256, mais on peut retomber sur une entrée courte par essai.
Ces pages ne remplacent pas cette politique. Elles montrent un digest, dans l’onglet. Elles ne sont pas :
- un coffre, un antivirus, une signature GPG (qui dit qui a signé) ;
- un stockage de mot de passe de production (pas de sel, pas Argon2) ;
- une preuve que le fichier reçu par e-mail est « sain » au-delà de la comparaison à une empreinte de confiance.
Pour un livrable déjà trop gros pour Gmail, vérifiez le hash en local (certutil, Get-FileHash) plutôt que de l’envoyer sur un site « checksum en ligne ».