Vérifier que le téléchargement vient bien de nous

Pourquoi s'embêter

Parce que les deux façons dont un téléchargement tourne mal sont toutes les deux invisibles : une copie hébergée ailleurs et qui a l'air identique, et un vrai fichier modifié en chemin. Aucune des deux ne se voit dans l'Explorateur. Les deux échouent aux vérifications ci-dessous.

Une troisième façon est moins inquiétante et plus fréquente : un téléchargement qui s'est arrêté en cours de route. Le fichier est là, il porte le bon nom, et il ne se lance pas. La vérification de l'empreinte détecte ça aussi.

Vérification 1 — la signature

Clic droit sur le fichier → Propriétés.

S'il y a un onglet Signatures numériques, le nom sur la signature doit être le nôtre. Si c'est le nom de quelqu'un d'autre, arrête-toi — ce fichier n'est pas celui que nous avons publié.
S'il n'y a pas d'onglet de ce genre, le fichier n'est pas signé, et cette vérification ne t'apprend rien, ni dans un sens ni dans l'autre. La vérification 2 est alors la seule, et elle suffit à elle seule.

Une signature valide te dit qui a signé le fichier et qu'il n'a pas changé depuis. Elle ne te dit pas quelle version tu as, ni si c'est celle dont ce site publie l'empreinte. C'est le rôle de l'empreinte ci-dessous, et c'est la vérification qui tranche.

Vérification 2 — l'empreinte

Une empreinte SHA-256 est une valeur de 64 caractères calculée à partir de chaque octet du fichier. Change un seul octet, et toute la valeur change. Windows peut la calculer sans rien installer.

Ouvre PowerShell dans le dossier où tu as téléchargé le fichier (dans l'Explorateur, tape powershell dans la barre d'adresse et appuie sur Entrée) :

Get-FileHash .\w0a-*.exe -Algorithm SHA256

S'il y a plus d'un fichier w0a dans le dossier, une ligne s'affiche pour chacun. Prends celle du fichier que tu t'apprêtes à lancer.

La même chose depuis l'invite de commandes :

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Compare le résultat avec le SHA-256 affiché sous le bouton de téléchargement sur notre page de téléchargement. Il doit correspondre caractère pour caractère. Les majuscules et les minuscules n'ont pas d'importance ; toute autre différence en a.

Une empreinte recopiée au même endroit que celui où tu as pris le fichier vaut moins qu'une empreinte recopiée ailleurs. Celui qui peut modifier le fichier à cet endroit peut aussi modifier l'empreinte à côté. C'est exactement pour cette raison que nous la publions sur le site et pas à côté du fichier.

Si l'une des deux vérifications échoue

Supprime le fichier. Ne le lance pas « pour voir ». Télécharge-le à nouveau depuis w0a.app, tapé dans la barre d'adresse, pas depuis un lien que quelqu'un t'a envoyé.

Si l'empreinte est encore fausse, vérifie d'abord que tu compares le bon fichier. Le navigateur a peut-être enregistré le deuxième téléchargement avec (1) à la fin du nom et laissé l'ancien à sa place.

Si ça échoue toujours, ou si tu as pris le fichier ailleurs que sur notre site, dis-nous d'où il vient. Une copie de w0a sur un autre site, c'est quelque chose que nous voulons savoir.

Ce que nous faisons de notre côté

Le bouton de téléchargement de notre site reste désactivé tant que deux conditions ne sont pas remplies :

l'adresse pointe vers notre propre domaine, ou vers la page des releases de notre propre dépôt GitHub public, et vers rien d'autre ;
une empreinte SHA-256 au bon format est publiée à côté.

La page ne peut donc pas proposer un téléchargement depuis l'adresse d'un inconnu, ni en proposer un sans empreinte pour le vérifier.