Hachage de mot de passe : haché, jamais chiffré

Quand vous créez un compte, le site garde votre mot de passe quelque part. Mais comment le garder sans pouvoir le relire ? Voici la différence entre chiffrer et hacher.

Chiffrer : une clé, un risque

Chiffrer, c'est enfermer le mot de passe avec une clé. Avec la clé, on le rouvre. C'est exactement le problème : une clé volée, et tout se lit. Tous les mots de passe de tous les utilisateurs, d'un seul coup.

Hacher : un hachoir à sens unique

Hacher, c'est passer le mot de passe au hachoir. « soleil » entre, et ressort en une suite de caractères sans rapport avec lui, par exemple 9f3a…. Cette empreinte est un sens unique : on ne sait pas refaire « soleil » à partir de 9f3a…. Même pour l'équipe qui l'a stockée.

Alors, comment vérifier un mot de passe ?

La base de données ne contient que l'empreinte. Quand vous vous connectez, le site fait la même chose avec ce que vous tapez : il le hache pareil, puis compare les deux empreintes. Identiques ? C'est le bon mot de passe. Le site n'a jamais eu besoin de le relire.

À retenir

Haché, jamais chiffré. Si la base fuit, les voleurs obtiennent des empreintes, pas des mots de passe.

Côté développeur

• Utilisez un algorithme conçu pour les mots de passe, volontairement lent : Argon2id ou bcrypt. Pas MD5, ni SHA-1, ni SHA-256 seul.
• Ajoutez un sel (une valeur aléatoire propre à chaque mot de passe) : deux utilisateurs qui choisissent « soleil » n'ont pas la même empreinte. Les bibliothèques sérieuses le font pour vous.