Hash de fichier : prouver une date, verifier une preuve et choisir la bonne methode

Hash de fichier : la question revient des qu'il faut dater un contrat signe, une facture, une photo d'etat des lieux, un export PDF, du code source ou des logs applicatifs. L'objectif est simple : pouvoir dire, plus tard, "ce contenu existait deja a telle date", sans devoir divulguer le document et sans rendre le processus fragile.

Le point cle a comprendre est le suivant : un hash de fichier prouve l'integrite (deux contenus identiques donnent la meme empreinte), mais ne prouve pas la date a lui seul. Pour transformer une empreinte en preuve d'existence datee, vous devez ajouter un horodatage independant (un tiers, un protocole, un registre) et mettre en place une conservation serieuse (fichier original, preuve, contexte, traces).

Dans ce guide, on avance pas a pas : comment fonctionne le hash, quelles methodes existent pour prouver une date (avec leurs limites), quelles pieces conserver, comment OpenTimestamps fonctionne, comment verifier une preuve, et quand preferer une solution blockchain, une enveloppe Soleau (INPI) ou un constat d'huissier selon l'enjeu.

Hash de fichier : a quoi ca sert et comment ca marche ?

Un hash de fichier est une empreinte numerique calculee a partir du contenu d'un fichier (octet par octet). Une seule modification, meme minime, change totalement l'empreinte. C'est un outil tres pratique pour verifier l'integrite et l'identite d'un fichier sans en partager le contenu.

En pratique, une empreinte (par exemple en SHA-256) ressemble a une longue chaine hexadecimale. Elle est deterministe (meme contenu = meme empreinte), tres sensible aux changements, et concue pour etre difficile a inverser ou a "collider". Mais elle ne dit rien, a elle seule, sur l'auteur ni sur la date.

Outils pour generer un hash (exemples)

Vous pouvez generer une empreinte localement (les commandes varient selon l'OS) :

# macOS / Linux (selon les distributions)
shasum -a 256 mon-fichier.pdf

# Linux (GNU coreutils)
sha256sum mon-fichier.pdf

# OpenSSL (macOS / Linux)
openssl dgst -sha256 mon-fichier.pdf

# Windows (PowerShell)
certutil -hashfile mon-fichier.pdf SHA256

Notez toujours l'algorithme et la version exacte du fichier horodate.

Ce que le hash prouve, et ce qu'il ne prouve pas

Le hash prouve que deux fichiers sont identiques. Il ne prouve pas qui a cree le fichier, ni quand il a ete cree. Sans horodatage externe, il est facile de calculer un hash aujourd'hui d'un fichier plus ancien, sans prouver la date.

Prouver qu'un fichier existait a une date precise : methodes et limites

Prouver une date repose sur un principe simple : fixer une empreinte dans un registre horodate et etre en mesure de refaire la verification plus tard. Concretement, vous calculez le hash, vous l'associez a une date via un mecanisme externe, puis vous conservez tout ce qui permet de rejouer la preuve.

Pour y arriver, les grandes familles de methodes sont :

• Horodatage par service : un tiers prend votre empreinte et delivre une preuve datee (souvent sous forme de certificat). Simple, mais depend du prestataire et de la conservation.
• Horodatage blockchain : une empreinte est ancree de maniere verifiable dans un registre distribue. Tres pratique pour des flux, mais exige une preuve et une verification bien gerees.
• Depot/constat : utile quand vous cherchez un cadre plus formel (enveloppe Soleau, constat d'huissier) et que l'enjeu justifie des demarches plus lourdes.

Il faut aussi penser a la chaine de confiance : comment l'empreinte a ete calculee, qui a declenche l'horodatage, dans quel environnement, et comment les preuves ont ete conservees. En cas de contestation, la methode compte souvent autant que l'artefact.

1. 1
   Figer le contenu

   Verrouiller la version (export stable, PDF si besoin) et noter ce que le fichier represente (contexte, version, identifiant interne).
2. 2
   Calculer le hash

   Generer l'empreinte (ex. SHA-256) et conserver l'algorithme, le resultat et la commande/outillage utilise.
3. 3
   Horodater l'empreinte

   Produire une preuve datee via un service d'horodatage ou un protocole comme OpenTimestamps.
4. 4
   Documenter et tracer

   Conserver les journaux (logs), l'identite du processus (automate/utilisateur), et les elements de contexte utiles.
5. 5
   Archiver pour verifier demain

   Conserver l'original et la preuve dans un stockage durable, avec une strategie de sauvegarde et de controle d'integrite.

Quelle preuve garder : fichier original, hash, certificat, logs ?

Une bonne preuve est rarement un document unique. Elle repose sur un ensemble coherent : le fichier original, son empreinte, la preuve d'horodatage, et les elements qui expliquent le contexte et le processus. Plus l'enjeu est important, plus la conservation doit etre structuree.

Concretement, gardez toujours l'original (sinon impossible de re-verifier), l'empreinte avec son algorithme, la preuve d'horodatage, et des traces minimales permettant d'expliquer le processus (surtout si c'est automatise). Une bonne regle : si un tiers technique ne peut pas reproduire la verification, votre preuve sera difficile a defendre.

Mini-checklist de conservation

• Fichier original exact (version figee) et accessible
• Empreinte (hash) + algorithme + contexte (version/ID)
• Preuve d'horodatage (certificat ou fichier de preuve, ex. .ots)
• Traces du processus (logs, identifiant de lot, horodatage interne)
• Regles de conservation (qui a acces, ou c'est stocke, combien de temps)
• Strategie de sauvegarde et de redondance (pour ne pas perdre l'original)
• Procedure de verification (qui sait verifier, avec quel outil)

OpenTimestamps : c'est quoi et comment ca fonctionne ?

OpenTimestamps est un protocole ouvert d'horodatage. L'idee est volontairement minimaliste : on ne publie pas le fichier, on publie uniquement une empreinte, ce qui permet de prouver qu'une empreinte existait a une date donnee, sans divulguer le contenu.

Comment l'horodatage OpenTimestamps est construit (vue simple)

1. Vous calculez un hash (ou vous donnez un fichier au client qui calcule le hash).
2. Le protocole regroupe de nombreuses empreintes dans une structure (souvent expliquee via un arbre de Merkle) afin de "mutualiser" l'ancrage.
3. Une preuve est ancree dans une blockchain publique ; la preuve finale permet de verifier que votre empreinte etait incluse dans cet ancrage.

Le processus est souvent en deux temps :

• une preuve initiale est generee immediatement (elle atteste que vous avez soumis l'empreinte au protocole),
• puis, apres confirmation de l'ancrage, la preuve est completee pour permettre une verification independante.

Le resultat pratique est un petit fichier de preuve (souvent stocke a cote du fichier source) qui permet, plus tard, de verifier la date d'ancrage. Point d'attention : le protocole ne remplace pas une bonne organisation de conservation. Si vous perdez l'original ou la preuve associee, la verification devient difficile, voire impossible.

Verifier une preuve OpenTimestamps : guide simple

La verification consiste a reprendre le fichier d'origine, recalculer son hash, puis verifier que ce hash correspond a la preuve ancree. L'operation peut se faire localement avec un client compatible, ou via un outil interne si vous en avez un.

Ce que vous devez avoir sous la main

• Le fichier original a verifier
• Le fichier de preuve OpenTimestamps associe
• L'outil de verification (client OTS ou procedure interne)

Pas a pas (sans entrer dans les details d'installation)

1. Verifier que vous avez la bonne paire : le fichier original et son fichier de preuve doivent correspondre (souvent, le fichier de preuve est stocke a cote, avec une convention de nommage).
2. Recalculer le hash du fichier original avec l'algorithme attendu.
3. Verifier la preuve : l'outil reconstitue la chaine (preuves intermediaires, ancrage) et confirme l'inclusion de votre empreinte.
4. Lire le resultat : vous obtenez une date/heure associee a l'ancrage, et un statut de verification (valide, incomplete, impossible a verifier).
5. Archiver le resultat : conservez une trace de verification (export, log), surtout si l'enjeu est sensible.

Si la preuve est "incomplete" (par exemple parce que l'ancrage n'est pas encore finalise), il faut parfois attendre que le protocole complete la preuve, puis relancer la verification.

Exemple de commandes (indicatif)

# Exemple indicatif : creation d'une preuve (stamp)
ots stamp mon-fichier.pdf

# Exemple indicatif : verification (verify)
ots verify mon-fichier.pdf.ots

L'essentiel est de garder une procedure de verification reproductible.

Horodatage blockchain vs enveloppe Soleau (INPI) : comparatif pratique

Comparer les methodes permet de choisir la bonne preuve au bon moment. L'horodatage blockchain est tres operationnel pour des fichiers numeriques et des preuves frequentes, tandis que l'enveloppe Soleau peut etre pertinente pour formaliser un depot de creation.

Ce que vous obtenez (vision terrain)

• Horodatage blockchain : un mecanisme technique verifiable (empreinte + preuve d'ancrage) qui s'integre bien a un flux numerique.
• Enveloppe Soleau : une demarche de depot, avec un cadre administratif, adaptee a des creations et des jalons plus ponctuels.

Quand choisir l'un ou l'autre ?

Horodatage blockchain (pragmatique) si :

• vous devez horodater souvent (versions, exports, lots),
• vous cherchez une verification technique rapide,
• vous voulez automatiser et tracer (CI/CD, batch, back-office).

Enveloppe Soleau (pragmatique) si :

• vous visez un depot plus "formel" et ponctuel (creation, concept, dossier),
• vous acceptez une demarche moins automatisable,
• vous souhaitez un cadre administratif clair, complementaire de vos preuves techniques.

Limites communes a garder en tete

Dans les deux cas, tout repose sur la conservation de l'original, le lien au contexte, et la capacite a produire une verification compréhensible.

Horodatage blockchain vs constat d'huissier : quand choisir quoi ?

Le constat d'huissier (commissaire de justice) est utile quand vous avez besoin d'une description circonstanciee de faits, d'une intervention humaine, ou d'un acte plus solennel. L'horodatage blockchain, lui, est surtout un outil d'industrialisation des preuves numeriques.

Quand l'horodatage blockchain est souvent un bon choix

• vous devez dater des fichiers numeriques en volume (contrats, annexes, rapports),
• vous cherchez une piste d'audit et un controle d'integrite,
• vous voulez prouver un jalon (livraison, version, extraction) sans mobiliser un tiers a chaque fois.

Quand un constat est souvent pertinent

• vous devez constater une situation de fait (affichage, etat, contenu visible a un instant),
• l'enjeu est elevé et vous anticipez une contestation forte,
• vous avez besoin d'un document narratif et circonstancie, pas seulement d'une empreinte technique.

Une approche hybride (souvent la plus realiste)

Dans beaucoup de dossiers, une combinaison est utile :

• horodatage blockchain regulier pour tracer les versions et jalons,
• constat ponctuel quand un evenement critique doit etre "fige" avec une description humaine.

FAQ

Un hash est-il une preuve juridique ?

Un hash est un element technique. Sa portee depend de la methode d'horodatage, de la conservation et du contexte. En pratique, il s'integre dans une demarche probatoire plus large (pieces, traces, explications), surtout si un tiers doit comprendre et verifier.

Dois-je horodater chaque version ?

Si les versions ont une valeur differente (signature, validation, livraison), oui. Pour un travail interne, vous pouvez selectionner des jalons pertinents : version envoyee, version signee, version archivee, version livree.

Peut-on horodater un dossier ou un email ?

Oui, en general on horodate un export (archive ZIP, PDF, .eml) puis on conserve l'original. L'important est de garder une forme stable et verifiable, et de documenter comment l'export a ete produit.

Que se passe-t-il si je perds le fichier original ?

Vous perdez la possibilite de re-verifier le hash. La preuve d'horodatage seule ne permet pas de prouver le contenu si vous ne pouvez plus montrer le fichier exact qui correspond a l'empreinte.

Dois-je garder le hash "seul" dans un tableur ?

Vous pouvez le faire a des fins d'organisation, mais un hash sans contexte est souvent difficile a exploiter. Conservez au minimum l'algorithme, l'identifiant de version, la preuve d'horodatage, et la localisation de l'original.

L'horodatage prouve-t-il que je suis l'auteur ?

Pas a lui seul. L'horodatage prouve qu'une empreinte existait a une date donnee. L'auteur, la titularite et le contexte se prouvent via d'autres elements (processus, traces, contrats, depots, etc.).

Liens internes suggeres

• guide-complet-horodatage-blockchain
• preuve-anteriorite-numerique
• conservation-preuves-numeriques

Conclusion

Le hash de fichier est la brique technique, l'horodatage est le lien vers une date, et la conservation est la condition pour verifier demain. En combinant ces trois elements avec une methode reproductible, vous obtenez une preuve numerique plus robuste et plus facile a expliquer.