Hachage vs chiffrement vs encodage
Trois mots souvent employés l’un pour l’autre, et qui ne devraient pas l’être. Chacun résout un problème différent — les confondre est un bug de sécurité.
Trois métiers différents
| Technique | Réversible ? | Clé ? | Objectif |
|---|---|---|---|
| Encodage | Oui | Non | Transport de données |
| Chiffrement | Oui | Oui | Confidentialité |
| Hachage | Non | Non | Intégrité / vérification |
Confondre ces colonnes est la source de nombreuses failles.
L’encodage
L’encodage transforme des données dans une autre représentation pour le transport ou le stockage — et inversement. Aucune sécurité.
- Base64 — binaire en texte.
- Encodage URL — caractères sûrs pour les URL.
Essayez le codeur/décodeur Base64. N’utilisez jamais l’encodage pour protéger un secret.
Le chiffrement
Le chiffrement brouille les données pour que seul le détenteur de la clé puisse les lire. Réversible par conception.
- Symétrique (AES) — une clé partagée, rapide.
- Asymétrique (RSA, ECC) — paire publique/privée.
Pour la confidentialité : données au repos, HTTPS, messagerie. Gérez bien les clés.
Le hachage
Le hachage produit une empreinte de longueur fixe à partir de n’importe quelle entrée. Irréversible.
- Intégrité — détecter une modification.
- Signatures — signer une empreinte.
- Stockage de mots de passe — avec sel et algorithme lent.
Calculez des empreintes avec le générateur SHA-256 et des hachages à clé avec le générateur HMAC.
Le piège des mots de passe
Stocker des mots de passe avec des hachages rapides (MD5, SHA-256) est une erreur : des milliards d’essais par seconde sont possibles. La bonne approche :
- Salage unique de chaque mot de passe.
- Algorithme lent — bcrypt, scrypt ou Argon2.
- Jamais le même hachage d’un utilisateur à l’autre.
HMAC : du hachage avec clé
HMAC combine un hachage et une clé secrète pour authentifier un message. Il vérifie intégrité et authenticité — webhooks, signatures d’API, JWT.
Guide de décision
- Récupérable, sans secret → encodage.
- Récupérable, secret requis → chiffrement.
- Jamais récupérable, vérifier l’intégrité → hachage.
Utilisez le bon outil
Les trois s’exécutent localement dans votre navigateur avec ces outils gratuits — vos données ne quittent pas votre appareil.