MD5 et SHA-256 sont tous deux des fonctions de hachage qui condensent des données en une empreinte de longueur fixe, mais leurs finalités diffèrent. MD5, sur 128 bits, est rapide mais permet de fabriquer des collisions de façon artificielle : il est donc abandonné pour les usages de sécurité. SHA-256, sur 256 bits, est un standard sûr pour lequel aucune attaque pratique n'est connue à ce jour.
S'il s'agit simplement de vérifier qu'un fichier a été corrompu par accident ou d'utiliser une clé de cache pour repérer rapidement des doublons, MD5 et CRC32 suffisent. Leur calcul est rapide et leur résultat court, donc facile à manipuler.
En revanche, dès que la sécurité entre en jeu — signatures numériques, certificats, stockage de mots de passe, intégrité des jetons — il faut impérativement utiliser SHA-256 ou supérieur. Si un attaquant peut fabriquer de fausses données ayant le même hachage, la vérification elle-même perd tout son sens.
En résumé, le principe de base est le suivant : MD5 pour une vérification d'intégrité rapide, SHA-256 dès que la sécurité est requise. En cas de doute, il est plus prudent de choisir SHA-256. AG HASH affiche les deux valeurs simultanément, à vous de choisir celle qui convient à votre situation.