Détecter les photos retouchées avec une empreinte SHA-256
SHA-256 expliqué simplement : ce que prouve une correspondance, ce que signifie une différence, et pourquoi une photo passée par WhatsApp ne correspond plus.
Le moyen le plus fiable de savoir si un fichier image a été modifié depuis son premier enregistrement est de comparer les empreintes SHA-256 des deux fichiers : une correspondance signifie qu’ils sont identiques octet pour octet, une différence signifie que le fichier a changé. Mais « modifié » ne veut pas dire « falsifié » : il suffit d’envoyer une photo par WhatsApp ou Messenger pour casser la correspondance. Ce guide explique SHA-256 simplement, ce qu’il prouve et ne prouve pas, et une méthode qui tient la route en pratique.
Remarque : cet article est une information générale, pas un conseil juridique. L’appréciation des preuves dans une affaire donnée relève de l’autorité compétente.
SHA-256, en termes simples
Voyez SHA-256 comme une machine qui fabrique une empreinte pour un fichier. Donnez-lui n’importe quel fichier, une photo de 3 Mo ou une vidéo de 2 Go, et elle renvoie une chaîne fixe de 64 caractères, qui commence par exemple par 9f2c1a…. L’algorithme est défini dans la norme américaine du NIST FIPS 180-4 et il est utilisé partout, de la banque au téléchargement de logiciels.
Trois propriétés comptent :
- Même fichier, même empreinte. Quel que soit le nombre de calculs et l’ordinateur utilisé, vous obtenez la même chaîne.
- Un minuscule changement, un résultat totalement différent. Modifiez un pixel ou supprimez une ligne de métadonnées, et la nouvelle empreinte ne ressemble en rien à l’ancienne. Il n’y a pas de « presque identique ».
- À sens unique. On ne peut pas reconstruire la photo à partir de l’empreinte et, en pratique, personne ne peut fabriquer délibérément un autre fichier ayant la même empreinte.
Il suffit donc de conserver 64 caractères à l’arrivée d’une photo pour vérifier plus tard si un fichier est exactement cette photo, sans conserver ni renvoyer l’image elle-même.
Ce que prouve une correspondance, et ce qu’indique une différence
| Résultat | Prouve | Ne prouve pas |
|---|---|---|
| Identique | Le fichier que vous détenez est identique octet pour octet à celui dont l’empreinte a été enregistrée | Que la scène est authentique, ou que rien n’a été mis en scène avant la prise |
| Différent | Le fichier diffère de l’original d’une manière ou d’une autre | Que quelqu’un a délibérément modifié le contenu |
C’est la deuxième ligne qui induit en erreur. Un fichier s’écarte de l’original pour de nombreuses raisons anodines :
- Les messageries recompressent les images. WhatsApp, Messenger et bien d’autres réduisent et recompressent les photos envoyées en tant que « photos ».
- Les réseaux sociaux recompressent et suppriment les métadonnées à la publication.
- Les captures d’écran au lieu de l’envoi du fichier.
- Faire pivoter, recadrer ou ajuster la luminosité, même légèrement, dans l’app galerie.
- La conversion de format, par exemple de HEIC en JPEG, ou un « enregistrer sous » depuis une visionneuse.
Face à une différence, la bonne question n’est donc pas « est-ce un faux ? » mais « par quels canaux ce fichier est-il passé ? ».
Pourquoi les photos envoyées via WhatsApp ou Messenger ne correspondent jamais
Pour économiser stockage et bande passante, les messageries réencodent généralement les images JPEG : résolution plus faible, compression plus forte, moins de métadonnées. À l’œil, l’image semble identique, mais les octets sont complètement différents, et le SHA-256 aussi.
| Mode d’envoi | Conserve généralement le fichier original ? | Comparaison SHA-256 |
|---|---|---|
| En tant que « photo » dans une messagerie | Non, recompressé | Presque certainement différent |
| En tant que « fichier » ou document dans une messagerie | Généralement oui | Généralement identique |
| Pièce jointe d’e-mail | Généralement oui | Généralement identique |
| Original téléchargé depuis Google Drive ou OneDrive | Oui | Identique |
| Capture d’écran | Non | Différent |
Le QR code imprimé sur la photo se scanne généralement encore après compression : le destinataire peut donc vérifier l’heure de prise et la zone même quand la comparaison d’empreinte échoue. Voir vérification des photos par QR code.
Une méthode de comparaison pratique
Si vous envoyez les photos (entreprises, techniciens, personnel terrain)
- Envoyer des photos rapides par messagerie pour le suivi quotidien ne pose pas de problème.
- Pour les photos qui comptent (contrôles, réceptions, sinistres), envoyez aussi l’original en tant que fichier, par e-mail ou via un dossier partagé.
- Ne recadrez, ne faites pivoter et ne retouchez pas avant d’envoyer l’original.
- Indiquez le code SnapID dans votre message pour que le destinataire le retrouve vite.
Si vous recevez les photos (maîtres d’ouvrage, clients, responsables, assureurs)
- Scannez le QR code ou ouvrez la page de vérification à partir du code de la photo.
- Vérifiez l’heure de prise, la zone et les signalements d’intégrité.
- Cliquez sur comparer avec mon fichier et choisissez l’original reçu.
- Identique : le fichier est intact. Différent : vérifiez s’il est passé par un canal qui compresse, puis demandez l’original.
- Si un original envoyé par un canal sans compression ne correspond toujours pas, interrogez l’expéditeur et regardez attentivement la miniature sur la page de vérification.
Calculer vous-même le SHA-256
Pour vos propres vérifications ou votre archivage, les outils intégrés suffisent :
- Windows (Invite de commandes) :
certutil -hashfile photo.jpg SHA256 - macOS (Terminal) :
shasum -a 256 photo.jpg - Linux :
sha256sum photo.jpg
Comparez le résultat avec la chaîne fournie par l’expéditeur. Un seul caractère différent signifie deux fichiers différents.
Comment SnapID Mark utilise SHA-256
Quand une photo SnapID Mark est envoyée, le serveur enregistre les empreintes SHA-256 de l’original et de l’image tamponnée. La page de vérification publique affiche l’empreinte avec l’heure de prise fiable, une zone arrondie et les signalements d’intégrité. Le bouton « comparer avec mon fichier » calcule le SHA-256 dans le navigateur du destinataire, sans envoyer la photo, et le compare à la valeur enregistrée. La page explique aussi le cas de la recompression par les messageries, pour que les destinataires ne tirent pas de conclusions hâtives.
Cela donne trois couches : l’heure fiable dit quand (voir heure fiable ou heure du téléphone), le code SnapID et le QR code mènent à un enregistrement indépendant, et SHA-256 dit si le fichier est toujours intact. En savoir plus dans sécurité ou essayez la démo de vérification.
Gardez à l’esprit qu’il s’agit d’un outil de contrôle technique, pas d’une signature numérique ni d’un horodatage certifié. Les photos horodatées comme preuve au Vietnam approfondit cet aspect.
Si vous devez envoyer des photos dont le destinataire peut vérifier lui-même l’intégrité, téléchargez SnapID Mark et essayez de comparer un original avec une copie envoyée par messagerie.
FAQ
Une empreinte SHA-256 révèle-t-elle le contenu de la photo ?
Non. L’image ne peut pas être reconstruite à partir de 64 caractères : afficher l’empreinte publiquement n’expose donc pas l’image.
Une photo envoyée via une messagerie ne correspond pas. Est-ce un faux ?
Non. Les messageries recompressent les images envoyées en tant que « photos », ce qui modifie le fichier même s’il a le même aspect. Demandez l’original envoyé en tant que fichier ou par e-mail et comparez celui-là.
Quand je compare sur la page de vérification, ma photo est-elle envoyée ?
Non. Votre navigateur calcule l’empreinte sur votre appareil, et le fichier image ne le quitte jamais.
Une correspondance signifie-t-elle que la photo est forcément authentique ?
Une correspondance prouve seulement que le fichier est identique à celui enregistré à l’envoi. Elle ne prouve pas que la scène n’a pas été mise en scène. Regardez aussi l’heure, la zone et les signalements d’intégrité.
Puis-je comparer un PDF exporté à partir de la photo ?
N’utilisez pas un PDF pour la comparaison, car l’image qu’il contient est un autre fichier. Comparez avec le JPEG original.