Mots de passe, hachages et Base64 : trois fonctions distinctes
Un mot de passe aléatoire, une empreinte de fichier et du Base64 ressemblent parfois à des chaînes opaques. Leurs rôles diffèrent ; les substituer peut exposer des informations sensibles.
Le mot de passe est secret, l’encodage ne l’est pas
Choisissez un mot de passe long et imprévisible, pas des noms ou dates faciles. Un gestionnaire fiable aide à le générer et le conserver. N’adoptez jamais un exemple publié comme vrai mot de passe.
Base64 représente les données en texte décodable sans clé secrète. RFC 4648 précise l’absence de confidentialité : un mot de passe encodé reste accessible à qui le décode.
Références: NCSC — Three Random Words · IETF RFC 4648 — Base Encodings and Security Considerations
Que prouve une empreinte ?
SHA-256 produit un condensat de longueur fixe. Le comparer à une référence fiable aide à vérifier l’égalité du contenu, pas la sûreté du fichier ou la fiabilité de son auteur.
Si fichier et empreinte viennent de la même source compromise, les deux peuvent avoir été remplacés. La référence importe autant que le calcul.
Références: MDN — SubtleCrypto digest()
Un hachage rapide n’est pas un système de stockage
SHA-256 généraliste seul ne constitue pas une conception complète de stockage de mots de passe. OWASP recommande des fonctions spécialisées avec les protections adaptées : c’est de l’ingénierie d’authentification, pas une simple conversion.
Décoder un JWT ne vérifie pas non plus sa signature ni la validité d’un accès. Ne collez pas de vrais identifiants secrets dans un message de support parce qu’ils semblent encodés.
Références: OWASP — Password Storage Cheat Sheet · IETF RFC 7519 — Validating JWTs
Exemple sans secret
Test devient VGVzdA== en Base64, puis redevient Test au décodage. Aucun sens n’exige de secret ; l’encodage ne cache donc pas un contenu confidentiel.
Ajouter un saut de ligne après Test modifie les octets hachés. Vérifiez encodage et fins de ligne avant d’attribuer des empreintes différentes à une erreur de calcul.