Vérifier que le téléchargement vient bien de nous

Pour vérifier que le téléchargement vient bien de nous, calcule son empreinte SHA-256 dans PowerShell et compare-la, caractère par caractère, avec celle de notre page de téléchargement ; c'est cette vérification qui tranche. Si le fichier a un onglet Signatures numériques, le nom qui y figure doit être le nôtre. Si l'une des deux vérifications échoue, supprime le fichier.

Pourquoi s'embêter

Parce que les deux façons dont un téléchargement tourne mal sont toutes les deux invisibles : une copie hébergée ailleurs et qui a l'air identique, et un vrai fichier modifié en chemin. Aucune des deux ne se voit dans l'Explorateur. Les deux échouent aux vérifications ci-dessous.

Une troisième façon est moins inquiétante et plus fréquente : un téléchargement qui s'est arrêté en cours de route. Le fichier est là, il porte le bon nom, et il ne se lance pas. La vérification de l'empreinte détecte ça aussi.

Vérification 1 — la signature

Clic droit sur le fichier → Propriétés.

• S'il y a un onglet Signatures numériques, le nom sur la signature doit être le nôtre. Si c'est le nom de quelqu'un d'autre, arrête-toi — ce fichier n'est pas celui que nous avons publié.
• S'il n'y a pas d'onglet de ce genre, le fichier n'est pas signé, et cette vérification ne t'apprend rien, ni dans un sens ni dans l'autre. La vérification 2 est alors la seule, et elle suffit à elle seule.

Une signature valide te dit qui a signé le fichier et qu'il n'a pas changé depuis. Elle ne te dit pas quelle version tu as, ni si c'est celle dont ce site publie l'empreinte. C'est le rôle de l'empreinte ci-dessous, et c'est la vérification qui tranche.

Vérification 2 — l'empreinte

Une empreinte SHA-256 est une valeur de 64 caractères calculée à partir de chaque octet du fichier. Change un seul octet, et toute la valeur change. Windows peut la calculer sans rien installer.

Ouvre PowerShell dans le dossier où tu as téléchargé le fichier (dans l'Explorateur, tape powershell dans la barre d'adresse et appuie sur Entrée) :

Get-FileHash .\w0a-*.exe -Algorithm SHA256

S'il y a plus d'un fichier w0a dans le dossier, une ligne s'affiche pour chacun. Prends celle du fichier que tu t'apprêtes à lancer.

La même chose depuis l'invite de commandes :

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Compare le résultat avec le SHA-256 affiché sous le bouton de téléchargement sur notre page de téléchargement. Il doit correspondre caractère pour caractère. Les majuscules et les minuscules n'ont pas d'importance ; toute autre différence en a.

Si l'une des deux vérifications échoue

Supprime le fichier. Ne le lance pas « pour voir ». Télécharge-le à nouveau depuis w0a.app, tapé dans la barre d'adresse, pas depuis un lien que quelqu'un t'a envoyé.

Si l'empreinte est encore fausse, vérifie d'abord que tu compares le bon fichier. Le navigateur a peut-être enregistré le deuxième téléchargement avec (1) à la fin du nom et laissé l'ancien à sa place.

Si ça échoue toujours, ou si tu as pris le fichier ailleurs que sur notre site, dis-nous d'où il vient. Une copie de w0a sur un autre site, c'est quelque chose que nous voulons savoir.

Ce que nous faisons de notre côté

Le bouton de téléchargement de notre site reste désactivé tant que deux conditions ne sont pas remplies :

• l'adresse pointe vers notre propre domaine, ou vers la page des releases de notre propre dépôt GitHub public, et vers rien d'autre ;
• une empreinte SHA-256 au bon format est publiée à côté.

La page ne peut donc pas proposer un téléchargement depuis l'adresse d'un inconnu, ni en proposer un sans empreinte pour le vérifier.

À lire aussi

• Mon antivirus a supprimé le fichier
• Ce que w0a collecte sur toi