Les logiciels de stéganographie cachent un fichier ou un message dans une image, un clip audio ou une vidéo d'apparence ordinaire. Les plus connus sont anciens, gratuits et conçus pour des tâches différentes : steghide pour le JPEG et le WAV en ligne de commande, OpenStego pour les images PNG et les filigranes, OutGuess pour la recherche sur le JPEG, OpenPuff pour cacher sur plusieurs fichiers sous Windows, et une longue traîne d'encodeurs en ligne. Ce guide les compare selon ce dans quoi ils cachent, la date de leur dernière mise à jour, ce qui les met en échec et à qui chacun convient, et explique où HideFile se situe et où il ne se situe pas.

Cherchez « steganography tool » sur Bing et la réponse est un carrousel des mêmes noms, suivi d'une synthèse IA qui recommande des encodeurs LSB dans le navigateur. Ce que ni l'un ni l'autre ne dit, c'est que l'outil le plus célèbre n'a pas eu de version depuis 2003, ou qu'un outil de craquage peut essayer quatorze millions de mots de passe contre lui en deux secondes.

Résultats Bing pour steganography tool : un carrousel d'OpenPuff, OutGuess, HiddenWave, StegHide, OpenStego et HStego, puis une synthèse IA listant des outils LSB en ligne comme StegoToolkit, SteganoCrypt et StegOnline.
« steganography tool » sur Bing, 14 octobre 2026. Le carrousel liste les noms d'outils ; rien n'y dit leur âge ni ce qui les casse.

Les logiciels de stéganographie en un coup d'œil

| Outil | Cache dans | Dernière version | Interface | Ce qui le met en échec | Convient à | | --- | --- | --- | --- | --- | --- | | steghide | JPEG, BMP, WAV, AU | 0.5.1, octobre 2003 | Ligne de commande | stegseek craque les phrases de passe faibles et détecte ses données sans elle | Défis CTF, travaux de cours | | OutGuess | Coefficients JPEG | 0.4, septembre 2021 (projet de reprise) | Ligne de commande | Une attaque de « blockiness » publiée en 2002 | Apprendre comment fonctionne la stéganographie JPEG | | OpenPuff | Chaînes d'images, audio, vidéo, PDF | 4.01, 2018 | Interface graphique Windows | La complexité ; il faut beaucoup de supports pour les gros fichiers | Amateurs qui veulent une couche leurre | | OpenStego | Images, enregistrées en PNG | 0.8.6, janvier 2023 | Interface graphique Java et ligne de commande | zsteg reconnaît ses données LSB ; hachage de mot de passe faible | Filigraner ses propres images | | Outils LSB en ligne | Généralement les pixels d'un PNG | Variable | Page web | Le LSB simple est facile à détecter ; certains envoient votre image | Énigmes et démonstrations | | HideFile | Enregistrements chiffrés dans PNG, JPEG, MP4, PDF | Actuelle | Navigateur | Un outil spécialisé peut constater que des données ont été ajoutées | Fichiers privés sur un appareil partagé |

Fiches comparatives de six outils : steghide, OutGuess, OpenPuff, OpenStego, outils LSB en ligne et HideFile, chacune avec ce dans quoi il cache, sa dernière version, son point faible et à qui il convient.
Chaque outil ici a un point faible connu. Choisissez selon la tâche, puis organisez-vous autour de la faiblesse.

steghide est le classique, et sa phrase de passe est toute la défense

steghide est l'outil que supposent la plupart des corrigés de CTF et des tutoriels YouTube, et c'est celui que choisissent les commentateurs expérimentés de Reddit : « don't reinvent stego, just use this » (ne réinventez pas la stégano, utilisez simplement ça), comme l'un l'a dit. Il cache n'importe quel fichier dans un support JPEG, BMP, WAV ou AU. Sa page de projet indique toujours « The current version is 0.5.1 » (la version actuelle est la 0.5.1), publiée le 15 octobre 2003. Les distributions Linux continuent de le packager : il s'installe donc facilement, mais le code lui-même n'a pas eu de version en amont depuis plus de vingt ans.

Sa conception est meilleure que son âge ne le laisse penser. steghide compresse et chiffre la charge utile (Rijndael, le chiffrement AES, par défaut), choisit des positions pseudo-aléatoires dans les données de l'image ou de l'audio avec la phrase de passe, et échange des paires de valeurs au lieu de les écraser, de sorte que le nombre total de couleurs ou d'échantillons reste le même. Le projet décrit cela comme résistant aux « first-order statistical tests » (tests statistiques du premier ordre). L'usage de base sur vos propres fichiers ressemble à ceci :

steghide embed -cf photo.jpg -ef note.txt
steghide extract -sf photo.jpg

Le point faible est la phrase de passe. stegseek est un outil de craquage conçu pour steghide, dont le README dit qu'il peut « run through the entirety of rockyou.txt in under 2 seconds » (parcourir l'intégralité de rockyou.txt en moins de 2 secondes), rockyou étant une liste divulguée d'environ quatorze millions de vrais mots de passe. Il peut aussi extraire les métadonnées de steghide sans aucun mot de passe, ce qui indique à un analyste qu'un fichier contient des données steghide. Un mot du dictionnaire n'est donc aucune protection. Si vous utilisez steghide, utilisez une longue phrase de passe aléatoire et partez du principe que la présence de données peut être confirmée.

OutGuess a ouvert la voie du masquage JPEG attentif aux statistiques, et a été cassé en 2002

OutGuess a été écrit par Niels Provos en 1999 et travaille directement sur les coefficients compressés du JPEG. Après l'insertion, il ajuste d'autres coefficients pour que l'histogramme global des coefficients de l'image corresponde à l'original, ce qui était conçu pour déjouer l'attaque du khi-deux qui avait attrapé les premiers outils JPEG. En 2002, Fridrich, Goljan et Hogea ont publié une attaque fondée sur la « blockiness » aux bords des blocs JPEG qui détectait OutGuess et pouvait estimer la longueur du message caché.

Le projet d'origine est resté silencieux pendant des années. Un groupe de reprise, Resurrecting Open Source Projects, a publié la version 0.4 en septembre 2021, et c'est ce que livrent les paquets Linux actuels. Sa charge utile, selon Wikipédia, est fragile et ne survit pas à un réencodage JPEG. OutGuess se traite au mieux comme un exemple pédagogique bien documenté de la façon dont la stéganographie JPEG et la stéganalyse se dépassent tour à tour.

OpenPuff cache sur de nombreux supports, avec une option leurre

OpenPuff est un programme portable pour Windows (le site propose aussi une version Linux) de Cosimo Oliboni, et sa dernière version, 4.01, date de 2018. C'est l'outil le plus ambitieux de cette liste. Il répartit une charge utile sur une chaîne de supports : images (BMP, JPG, PCX, PNG, TGA), audio (AIFF, MP3, WAV et autres), vidéo (3GP, MP4, MPG, VOB) et fichiers Flash ou PDF, jusqu'à 256 Mo « if you have enough carriers at disposal » (si vous avez assez de supports à disposition). Il superpose plusieurs chiffrements et prend en charge la stéganographie niable : « Top secret data can be protected using less secret data as a decoy » (des données très secrètes peuvent être protégées en utilisant des données moins secrètes comme leurre).

Le prix à payer est la complexité. Vous gérez les mots de passe, l'ordre des supports et les réglages par support, et si vous perdez un support, la chaîne se casse. Les sources divergent sur sa licence (Wikipédia l'appelle un freeware à code fermé, le fichier d'aide mentionne la LGPL) : vérifiez donc avant de vous y fier pour quoi que ce soit que vous voulez que d'autres auditent.

OpenStego est l'option de bureau la plus conviviale, la meilleure pour les filigranes

OpenStego est une application Java gratuite sous GPL-2.0 avec une interface graphique sous Windows, macOS et Linux. Sa dernière version sur GitHub est la 0.8.6 de janvier 2023. Il fait deux tâches : cacher des données dans une image avec une méthode LSB randomisée, et filigraner des images avec une signature invisible pour pouvoir prouver plus tard qu'une copie vient de vous.

Pour cacher, la sortie est enregistrée en PNG, qui est sans perte : la charge utile survit donc jusqu'à ce que quelqu'un convertisse l'image en JPEG. La détection est bien étudiée : zsteg, un outil courant d'analyse PNG et BMP, liste OpenStego parmi les formats qu'il reconnaît. OpenStego propose un chiffrement AES par mot de passe, mais son code source dérive la clé avec un sel fixe et seulement quelques itérations, ce qui rend les mots de passe faibles peu coûteux à deviner. Utilisez-le pour filigraner vos propres images publiées, ou pour cacher en LSB là où être trouvé n'est pas un problème.

Les outils de stéganographie en ligne conviennent pour les énigmes, pas pour les fichiers privés

La synthèse Bing ci-dessus renvoie à des outils de navigateur comme StegoToolkit, SteganoCrypt et StegOnline, et le premier résultat organique pour « steganography tools » est un encodeur en ligne. La plupart font une simple insertion LSB dans un PNG, ce pour quoi les détecteurs statistiques sont précisément réglés. La plus grande question est de savoir où va votre image. Certaines pages traitent l'image dans votre navigateur ; d'autres l'envoient à un serveur pour l'encoder. Une page dit rarement clairement laquelle : ouvrez donc les outils réseau de votre navigateur ou lisez la documentation du site avant d'y mettre quoi que ce soit de privé.

Les outils de détection sont l'autre moitié du paysage

Les mêmes communautés qui construisent les outils de masquage construisent les outils de détection. stegseek cible steghide. zsteg vérifie les fichiers PNG et BMP à la recherche de données LSB et de signatures d'outils connus. Stegdetect, le détecteur JPEG utilisé dans l'étude eBay de 2001, n'est plus développé. Sur r/computerforensics, un utilisateur qui cherchait un remplaçant moderne a rapporté qu'un ensemble de détecteurs, StegExpose parmi eux, n'avait rien trouvé dans une image qu'il avait faite avec steghide : « None of these tool found anything » (aucun de ces outils n'a rien trouvé). Un résultat sans alerte prouve peu, et une alerte ne prouve guère plus, comme l'explique les photos cachées peuvent-elles être détectées ? avec les chiffres.

HideFile est de la dissimulation plus du chiffrement, pas de la stéganographie classique

HideFile est un site web, utilisé dans n'importe quel navigateur récent, qui place des photos, vidéos, PDF et documents privés à l'intérieur d'un fichier de couverture ordinaire : une photo, une vidéo ou un PDF de votre choix. La couverture s'ouvre comme un fichier normal partout. Ouverte sur hidefile.app avec le mot de passe, elle montre les fichiers qu'elle contient sous forme de galerie privée.

Ce n'est pas de la stéganographie au sens strict, et il ne prétend pas l'être. HideFile ne modifie pas un seul pixel et n'essaie pas de paraître statistiquement normal. Il chiffre vos fichiers dans le navigateur (XChaCha20-Poly1305, avec la clé protégée par votre mot de passe via Argon2id) et les stocke sous forme d'enregistrements que le format de fichier autorise pour des données supplémentaires, de sorte que le fichier reste valide. Un outil spécialisé peut constater que des données ont été ajoutées ; il ne peut pas lire le contenu sans le mot de passe. Les fichiers ne sont pas envoyés à un serveur HideFile.

Ce qu'il offre et que les outils classiques n'offrent pas, c'est le côté pratique : des dossiers entiers, de grosses vidéos et des PDF, une galerie navigable, rien à installer, et une couverture que vous pouvez copier sur un nouveau téléphone ou sauvegarder comme n'importe quel autre fichier. Ce qu'il n'offre pas, c'est l'invisibilité face à un analyste. Qu'est-ce que la stéganographie ? explique la différence entre les méthodes.

Guide de décision : pour un CTF ou un cours, utilisez steghide ou OutGuess ; pour filigraner des images que vous publiez, utilisez OpenStego ; pour garder des fichiers privés à l'abri des personnes qui utilisent votre appareil, utilisez un fichier de couverture HideFile ; pour cacher un message à un analyste formé, aucun outil ici n'est sûr : emportez moins de données.
Les outils publiés sont exactement ce que les analystes testent. Aucun n'est un canal secret face à un professionnel.

Comment HideFile peut vous aider

Si vous comparez des logiciels de stéganographie parce que vous voulez que des photos ou fichiers privés sur votre téléphone ou ordinateur portable cessent d'être évidents, les outils classiques conviennent mal. steghide et OutGuess contiennent de petites charges utiles et demandent un terminal. OpenStego demande un ordinateur de bureau et du PNG. Les encodeurs en ligne peuvent envoyer votre image. Une application coffre-fort pour photos, l'autre réponse courante, s'annonce avec son icône, comme le traite une application coffre-fort pour photos est-elle sûre ?.

HideFile est conçu pour ce cas quotidien. Choisissez une couverture, ajoutez des fichiers, définissez un mot de passe, et enregistrez la couverture là où vous gardez vos autres photos ou documents. Quiconque passe devant voit une image ordinaire. Soyez clair sur les limites : HideFile arrête les curieux occasionnels, pas les outils d'analyse judiciaire ; il n'y a pas de récupération de mot de passe : un mot de passe oublié signifie que les fichiers sont perdus ; et les apps qui réencodent les photos peuvent supprimer la partie cachée : envoyez et sauvegardez donc la couverture comme un fichier. Face à un examinateur formé, à une fouille à la frontière ou à une pression juridique, ce n'est pas le bon outil, et tout le reste de ce tableau non plus. Pour les astuces que l'on utilise sans logiciel particulier, voir comment cacher des fichiers à la vue de tous.

Sources