Outils HTML

Gratuit Générateur de hash SRI

Générez des hashs Subresource Integrity pour les fichiers script et stylesheet avec SHA-256, SHA-384 ou SHA-512.

Chargement de l'outil...

Qu'est-ce que Générateur de hash SRI ?

Subresource Integrity (SRI) est une fonctionnalite de securite des navigateurs qui verifie le contenu des scripts et feuilles de style externes. Vous ajoutez un attribut integrity a votre balise script ou link contenant un hachage cryptographique du fichier. Avant d'executer le fichier, le navigateur calcule son hachage et le compare a la valeur integrity. Si les hachages ne correspondent pas — parce que le fichier a ete modifie, compromis ou corrompu — le navigateur bloque la ressource.

Réponse rapide

Utilisez Subresource Integrity (SRI) pour proteger votre site contre les fichiers CDN compromis. Generez un hachage cryptographique du contenu du fichier, ajoutez l'attribut integrity a votre balise script ou link, et incluez crossorigin='anonymous'. Le navigateur bloque la ressource si son hachage reel ne correspond pas.

Last updated: 2026-05-28

Limites

SRI verifie uniquement le contenu du fichier au moment du chargement. Il ne protege pas contre les vulnerabilites dans la bibliotheque chargee elle-meme (comme les XSS dans une version obsolete de jQuery). Maintenez toujours vos bibliotheques a jour.
Le hachage doit etre regenere chaque fois que le fichier distant change. Si vous oubliez de mettre a jour l'attribut integrity apres une mise a jour de bibliotheque, la ressource est bloquee et la page peut etre cassee.
SRI ne fonctionne pas avec les ressources necessitant des identifiants (cookies, auth HTTP) depuis une origine differente. Pour les requetes multi-origines avec identifiants, utilisez crossorigin='use-credentials' au lieu de 'anonymous'.

Sources:MDN Web Docs · W3C Specifications · jquery.app on GitHub

Comment utiliser cet outil

Fournissez le contenu du fichier en collant le code directement, en telechargeant le fichier, ou les deux (le contenu colle a priorite).
Selectionnez l'algorithme de hachage — SHA-256 est le standard ; SHA-384 et SHA-512 sont egalement valides.
Copiez l'attribut integrity genere et la balise script ou link complete dans votre HTML.

A quoi il sert

Ajouter des controles d'integrite aux scripts heberges sur CDN comme jQuery, Bootstrap ou toute bibliotheque tierce.
Verifier qu'un fichier de bibliotheque telecharge correspond au hachage attendu avant de le deployer en production.
Generer des attributs integrity pour les ressources auto-hebergees lors de l'utilisation d'un CDN et d'un sous-domaine pour la mise en cache.

Cas d'usage

Exemples concrets

Exemple

Securiser une balise script CDN

Un site charge une bibliotheque utilitaire depuis un CDN. Generez le hachage SRI a partir du contenu exact du fichier, ajoutez l'attribut integrity a la balise script et incluez crossorigin='anonymous'. Si le fichier CDN est un jour modifie, le navigateur refusera de l'executer.

Exemple

Verifier une bibliotheque telechargee

Un developpeur telecharge un framework CSS minifie et veut confirmer qu'il n'a pas ete modifie. Telechargez le fichier pour generer son hachage SHA-384, puis comparez-le avec le hachage publie sur le site officiel du framework.

Erreurs frequentes

Generer un hachage a partir d'une version de developpement d'un fichier et l'utiliser sur une version de production differente — les hachages ne correspondront pas.
Oublier l'attribut crossorigin='anonymous' sur la balise script ou link, ce qui empeche le navigateur de calculer le hachage pour les ressources multi-origines.
Ne jamais mettre a jour le hachage integrity apres une mise a niveau d'une bibliotheque CDN — les anciens hachages bloquent le nouveau fichier et cassent la page.

Vérification

Verifiez dans l'onglet Reseau des outils de developpement du navigateur — une ressource avec un hachage integrity correspondant se charge normalement ; une ressource non concordante est bloquee en rouge avec une erreur SRI.
Verifiez le hachage genere en le calculant independamment : openssl dgst -sha256 -binary fichier.js | openssl base64 -A devrait correspondre a la valeur integrity generee.

FAQ

Questions sur Générateur de hash SRI

Ai-je besoin de crossorigin='anonymous' pour que SRI fonctionne ?

Oui, si la ressource est servie depuis une origine differente de celle de votre page. Sans crossorigin='anonymous', le navigateur ne peut pas calculer le hachage d'une ressource multi-origine et la verification d'integrite est ignoree. Pour les ressources de meme origine, crossorigin n'est pas requis mais il est inoffensif de l'inclure.

Que se passe-t-il si le hachage SRI ne correspond pas au fichier ?

Le navigateur refuse entierement d'executer le script ou d'appliquer la feuille de style. La ressource est bloquee et une erreur apparait dans la console du navigateur. Cela protege vos utilisateurs contre les fichiers CDN compromis, mais cela signifie aussi qu'une mise a jour legitime de fichier sans mise a jour correspondante du hachage casse votre page.

Quel algorithme de hachage dois-je utiliser pour SRI ?

SHA-256 est le standard et le plus largement utilise. SHA-384 et SHA-512 sont egalement valides et offrent une meilleure resistance aux collisions, mais les valeurs de hachage plus grandes ajoutent plus d'octets a votre HTML. Pour une utilisation web, SHA-256 est suffisant — la securite vient de la verification d'integrite elle-meme, pas de la longueur du hachage.

Puis-je utiliser SRI avec des scripts charges dynamiquement ?

SRI fonctionne uniquement avec les balises script et link statiques dans le HTML. Pour les scripts charges dynamiquement (via import() ou appendChild), vous pouvez definir la propriete integrity sur l'element script avant de l'ajouter. Les scripts module charges avec import() ne supportent pas SRI directement — utilisez plutot les import maps avec integrity.

Outils lies