Vérifier un téléchargement

Traduction automatique provisoire, non révisée. En cas de doute, consultez la version anglaise, qui fait foi.

Chaque fichier publié ici est accompagné d’une somme de contrôle SHA-256 et d’une signature GPG, signées avec une seule clé.

Importez la clé une seule fois : elle couvre tous les téléchargements de ce site : clé publique.

gpg --import cordelia-signing-key.asc

Exécutez ensuite les deux commandes depuis le dossier contenant le fichier téléchargé, en remplaçant son nom :

sha256sum -c FILE.sha256
gpg --verify FILE.asc FILE

À quoi ressemble une vérification réussie

sha256sum -c affiche une ligne se terminant par OK. gpg --verify en affiche plusieurs ; au premier essai, elles ressemblent à ceci. GPG peut les afficher dans votre langue, et l’adresse de contact contenue dans le nom de la clé est omise ici :

gpg: Signature made Thu 17 Sep 2026 08:50:48 AM PDT
gpg:                using RSA key 96C905387D861330DF0ABF596F856B529AC60669
gpg: Good signature from "Venhola Consulting Release Signing" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: CEF6 8070 0501 5D06 CEBD  6160 3B59 6D62 DBC6 0119
     Subkey fingerprint: 96C9 0538 7D86 1330 DF0A  BF59 6F85 6B52 9AC6 0669

Cet avertissement ne signifie pas que la vérification a échoué. Good signature est le résultat qui compte : le fichier a bien été signé par cette clé et n’a pas changé depuis. L’avertissement indique seulement que vous n’avez pas certifié la clé en la signant vous-même, ce que presque personne ne fait. Un véritable échec affiche BAD signature.

La clé de signature

Une seule clé signe tout ce qui est publié ici. Vérifiez que la clé importée est bien celle-ci, plutôt que de faire confiance à celle qui accompagnerait un fichier :

gpg --fingerprint CEF6807005015D06CEBD61603B596D62DBC60119

L’empreinte est CEF6 8070 0501 5D06 CEBD 6160 3B59 6D62 DBC6 0119, RSA 4096, sous-clé de signature 6F856B529AC60669, la clé nommée dans la ligne Primary key fingerprint ci-dessus. Une clé dont l’empreinte diffère n’est pas celle de ce projet, quel que soit le nom qu’elle porte.

Pourquoi les deux

Une somme de contrôle écarte un transfert endommagé. Elle ne prouve pas l’origine du fichier : n’importe qui peut publier une somme correspondant à un fichier modifié. C’est la signature qui l’établit.

Voir aussi