Hashcat est un logiciel libre de récupération de mots de passe qui confie l’essentiel du calcul aux processeurs graphiques. Son développeur principal, connu sous le pseudonyme atom, a annoncé le 4 décembre 2015 sur le forum du projet l’ouverture du code de hashcat et de sa déclinaison pour carte graphique, oclHashcat, sous licence MIT. Les deux programmes ont ensuite été réunis en un seul à partir de la version 3.00.
Le projet reste actif. La version 7.1.2, publiée le 23 août 2025 d’après le dépôt GitHub, est la dernière proposée au téléchargement, et le journal des modifications annonce déjà la version suivante.
À quoi sert Hashcat
Un service bien conçu ne range pas les mots de passe en clair dans sa base de données. Il en conserve une empreinte, appelée hash, produite par une fonction mathématique dont on ne peut pas revenir en arrière. Lors d’un audit de sécurité, cette empreinte est tout ce dont dispose l’administrateur, et Hashcat sert à vérifier la solidité des mots de passe qui se cachent derrière, dans un cadre autorisé. L’outil prend en charge, d’après sa documentation, plus de quatre cent cinquante familles d’empreintes différentes, des formats employés par les systèmes d’exploitation jusqu’à ceux des archives chiffrées et des gestionnaires de bases de données.
La particularité de Hashcat tient à la carte graphique. Les opérations de ce type se parallélisent très bien, et un processeur graphique moderne les traite beaucoup plus vite qu’un processeur central. L’outil fonctionne sur les cartes NVIDIA, AMD et Intel, ainsi que sur les processeurs classiques, et il sait répartir le travail entre plusieurs appareils à la fois. Il intègre un moteur de règles qui s’exécute directement sur la carte, un banc d’essai pour mesurer les performances, une surveillance thermique et un mécanisme de reprise qui permet d’interrompre puis de relancer une session.
La version 7, parue en 2025, a marqué un tournant. Elle ajoute un backend Metal qui ouvre le support des Mac à puce Apple, une passerelle baptisée Assimilation Bridge et un greffon Python qui laisse écrire sa propre logique de comparaison sans recompiler le programme, ainsi qu’une série d’outils d’extraction d’empreintes à partir de sources variées. Hashcat se place dans notre logithèque du côté des instruments d’audit défensif, aux côtés d’outils comme Volatility pour l’analyse mémoire ou YARA pour la reconnaissance de fichiers.
La frontière avec les autres outils de sécurité est nette. Hashcat ne s’attaque pas à un service en ligne et ne devine pas un mot de passe à partir d’un simple nom d’utilisateur. Il travaille uniquement sur des empreintes déjà récupérées par ailleurs, ce qui en fait un outil de laboratoire et non un moyen d’accès à distance. La documentation du projet insiste d’ailleurs explicitement sur ce point.
Pour qui ?
Hashcat s’adresse aux professionnels de la sécurité qui travaillent dans un cadre défini : testeurs d’intrusion mandatés, équipes rouges et bleues, analystes en criminalistique numérique qui doivent ouvrir un support chiffré sur réquisition, et administrateurs qui vérifient que les mots de passe de leur organisation résistent à une tentative de récupération. Les chercheurs en cryptographie s’en servent aussi pour évaluer la résistance d’une fonction d’empreinte.
Ses limites encadrent cet usage. L’outil s’utilise en ligne de commande, sans interface graphique, et demande du matériel adapté ainsi que les pilotes correspondant à chaque fabricant de carte, ce qui rend la première installation plus exigeante qu’une application ordinaire. Surtout, il ne doit servir que sur des empreintes dont on a légalement le droit de disposer. La documentation rappelle qu’il ne permet pas de forcer un compte en ligne, même avec l’accord de son titulaire, et qu’un usage sans autorisation expose à de lourdes conséquences.
Télécharger Hashcat sans risque
La page de téléchargement de hashcat.net fournit l’archive binaire de la dernière version pour Windows et Linux, le code source, et pour chaque fichier une signature PGP qui permet de vérifier son authenticité avec la clé publique du projet. Sous macOS, l’archive ne contient pas d’exécutable, et l’éditeur renvoie vers une compilation depuis les sources ou un gestionnaire de paquets. Le code se trouve aussi sur le dépôt GitHub hashcat/hashcat. Le logiciel est entièrement gratuit et ne comporte aucune édition payante.
Un outil de récupération de mots de passe est une cible de choix pour les logiciels malveillants, car il tourne souvent avec des droits étendus sur une machine d’analyse. Un exécutable récupéré sur un forum ou sur un site de téléchargement généraliste n’offre aucune garantie. Vérifier la signature PGP publiée par le projet avant de lancer le programme est la seule façon sûre de s’assurer qu’il n’a pas été modifié.
Questions fréquentes
Hashcat est-il gratuit ?
Oui. Hashcat est un logiciel libre distribué sous licence MIT depuis décembre 2015, sans aucune édition payante. Le code et les binaires se téléchargent librement sur hashcat.net et sur GitHub.
Faut-il une carte graphique pour utiliser Hashcat ?
Non, l’outil fonctionne aussi sur un processeur classique, mais il est conçu pour tirer parti des cartes graphiques, bien plus rapides sur ce type de calcul. Les pilotes du fabricant de la carte doivent être installés au préalable.
Peut-on récupérer le mot de passe d’un compte en ligne avec Hashcat ?
Non. Hashcat travaille uniquement sur des empreintes déjà en votre possession et n’attaque pas un service distant. Sa documentation précise qu’il ne sert pas à forcer un compte en ligne et qu’il doit s’employer dans un cadre autorisé.
