Les hachages, HMAC, chiffrements et JWT peuvent être inspectés dans le navigateur. Gardez les données sur l'appareil et choisissez l'algorithme selon l'usage.
Une fonction de hachage produit une empreinte de taille fixe à partir d'entrées de tailles variables. Les mêmes octets donnent la même empreinte ; un simple changement de fin de ligne peut la modifier. Le générateur de hachages permet de comparer sommes de contrôle et données de test.
MD5 produit 128 bits, soit 32 caractères hexadécimaux, et SHA-1 produit 160 bits. Ces deux algorithmes ont des collisions connues et ne conviennent pas à de nouvelles signatures ou à une protection contre un attaquant. MD5 reste présent pour détecter des changements accidentels.
SHA-256 et SHA-512 appartiennent à SHA-2 et produisent 256 et 512 bits. SHA-512 peut être plus rapide sur matériel 64 bits, selon l'implémentation. Un hachage rapide seul ne convient pas aux mots de passe : utilisez Argon2id, scrypt ou bcrypt correctement paramétré, avec un sel.
HMAC associe une fonction de hachage à une clé secrète partagée. Une valeur correcte prouve l'intégrité et la connaissance de la clé, pas une identité publique. Le générateur HMAC aide à reproduire une signature pendant le développement.
AWS Signature Version 4 utilise HMAC-SHA256, des clés dérivées et une requête canonique. Méthode, chemin, en-têtes et hachage du corps suivent la spécification ; hacher uniquement le corps ne produit pas une signature AWS valide.
GitHub transmet la signature de webhook dans X-Hub-Signature-256. Stripe utilise Stripe-Signature et inclut un horodatage dans le calcul. Vérifiez les octets originaux, comparez les signatures en temps constant et appliquez une protection contre le rejeu. JWT HS256 utilise aussi HMAC-SHA256.
AES est symétrique : la même clé secrète chiffre et déchiffre. Le mode compte autant que la taille de clé. AES-GCM utilise un tag d'authentification et impose de ne jamais réutiliser un nonce avec la même clé. L'outil AES permet d'étudier des cas de test.
RSA emploie une clé publique et une clé privée. En raison de ses limites de taille et de son coût, on chiffre généralement une clé symétrique aléatoire plutôt qu'un fichier entier. AES traite ensuite les données.
N'utilisez pas RSA sans padding. L'outil RSA emploie RSA-OAEP ; vérifiez les paramètres de hachage et les formats de clé lors des échanges. Le chiffrement RSA-OAEP est distinct d'une signature RSA. Protégez clés privées et données déchiffrées.
Un JWT signé au format compact JWS comporte trois parties Base64url séparées par des points : en-tête, payload et signature. {"alg":"HS256","typ":"JWT"} désigne HMAC-SHA256 ; RS256 désigne une signature RSA avec SHA-256.
Le payload contient des claims comme sub, iss, aud, exp et iat : sujet, émetteur, destinataire, expiration et émission. Le décodeur JWT les rend lisibles. Décoder ne vérifie pas la signature et ne prouve pas que le jeton peut être accepté.
Fixez les algorithmes autorisés côté serveur et vérifiez signature, émetteur, destinataire et expiration. Ne faites pas confiance à alg sans contrôle et n'acceptez pas none par accident. Une signature JWS ne chiffre pas le payload ; la confidentialité nécessite un mécanisme comme JWE.
Non. SHA-256 est un hachage rapide à usage général, ce qui facilite l'attaque par force brute des mots de passe. Utilisez plutôt bcrypt, scrypt ou Argon2 — ceux-ci sont conçus pour être lents et gourmands en mémoire. Notre Générateur de Mots de Passe crée des mots de passe forts ; le stockage devrait utiliser bcrypt/Argon2 sur votre serveur.
L'encodage (comme Base64) transforme les données pour la compatibilité — il est réversible sans clé. Le chiffrement (comme AES) protège la confidentialité — il n'est réversible qu'avec la bonne clé. N'utilisez jamais Base64 comme mesure de sécurité.
Lisez exp avec le décodeur JWT et comparez-le à l’heure Unix actuelle. Un jeton non expiré ne prouve pas une signature valide ; vérifiez aussi signature, émetteur et destinataire côté serveur.
Oui, lorsqu'on utilise crypto.getRandomValues(), ce qu'utilise notre Générateur de Mots de Passe. Il s'agit du CSPRNG du navigateur, la même source d'entropie utilisée par le système d'exploitation pour la génération de clés.
AES-256 pour toutes les nouvelles applications. AES-128 est techniquement sûr contre les attaques connues, mais AES-256 offre une marge plus grande. La différence de performance est négligeable sur le matériel moderne.