À quoi sert un UUID ? Les identifiants uniques expliqués

Si vous avez déjà regardé à l'intérieur d'une base de données, d'une réponse d'API ou d'un fichier journal, vous avez presque certainement vu une longue chaîne de lettres, de chiffres et de tirets ressemblant à ceci : 550e8400-e29b-41d4-a716-446655440000. Ce n'est ni un mot de passe ni un code secret. C'est un UUID — un identifiant universellement unique — qui fait fonctionner en silence une grande partie des logiciels que vous utilisez chaque jour. Alors, à quoi sert un UUID ? En bref, un UUID donne à quelque chose — un utilisateur, une commande, un fichier, une session, un appareil — une étiquette pratiquement garantie d'être unique, même lorsqu'elle est créée sur un autre ordinateur, dans un autre pays, sans aucune autorité centrale pour distribuer les numéros.

Cette absence d'autorité centrale est précisément tout l'intérêt. Les identifiants séquentiels (1, 2, 3, et ainsi de suite) fonctionnent dans une seule base de données, mais échouent dès que deux systèmes fusionnent leurs données ou qu'une application crée un enregistrement hors ligne. Les UUID résolvent ce problème parce qu'ils sont aléatoires et suffisamment longs pour que deux identifiants générés indépendamment ne se rencontrent pratiquement jamais. Ci-dessous, vous découvrirez à quoi ressemble un UUID, pourquoi les bases de données adorent les identifiants aléatoires, en quoi la v4 diffère des autres versions, à quel point les risques de collision sont faibles et comment générer des UUID instantanément.

À quoi ressemble un UUID

Un UUID standard compte 36 caractères : 32 chiffres hexadécimaux (les caractères 0–9 et a–f) plus 4 tirets qui le divisent en cinq groupes. Le découpage suit un schéma 8-4-4-4-12, donc un UUID a toujours la forme xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx. Voici l'exemple classique d'UUID, expliqué groupe par groupe :

• 550e8400 — le premier groupe, 8 chiffres hexadécimaux.
• e29b — le deuxième groupe, 4 chiffres hexadécimaux.
• 41d4 — le troisième groupe, 4 chiffres hexadécimaux. Remarquez qu'il commence par 4 : ce chiffre indique qu'il s'agit d'un UUID de version 4.
• a716 — le quatrième groupe, 4 chiffres hexadécimaux. Il commence par a, ce qui en binaire donne 1010 : les deux premiers bits sont « 10 », le marqueur de variante du format standard d'UUID utilisé aujourd'hui.
• 446655440000 — le dernier groupe, 12 chiffres hexadécimaux.

Au total, 550e8400-e29b-41d4-a716-446655440000 est un UUID de version 4 valide. On peut lire deux informations directement dans sa forme : le chiffre de version (le premier caractère du troisième groupe) indique comment l'UUID a été créé, et les bits de variante (les premiers bits du quatrième groupe) indiquent quel format d'UUID il suit. Pour la forme courante v4, le premier chiffre hexadécimal de la variante est toujours 8, 9, a ou b, car ce sont les chiffres hexadécimaux dont la forme binaire commence par 10.

Les UUID ne sont pas sensibles à la casse, même si les minuscules sont la convention habituelle. Ils sont parfois écrits sans tirets ou entre accolades, comme {550e8400-e29b-41d4-a716-446655440000}. La valeur sous-jacente de 128 bits reste la même dans tous les cas.

Pourquoi les bases de données adorent les identifiants aléatoires

Alors, à quoi sert un UUID en pratique ? Son principal usage est celui de clé primaire — l'étiquette unique d'une ligne dans une table de base de données. Chaque compte utilisateur, commande, article de blog, commentaire et fichier téléversé a besoin d'un identifiant qu'aucune autre ligne ne partage, et les UUID le fournissent sans compteur central.

Prenez une application avec des serveurs dans trois régions. Si chacun distribue des numéros séquentiels, les trois finiront par émettre la « commande 1042 » et la fusion deviendra un casse-tête. Avec des UUID aléatoires, chaque serveur crée des enregistrements de manière indépendante et les fusionne ensuite sans conflit. Il en va de même hors ligne : un téléphone peut créer une note ou une photo sans connexion, lui attribuer un UUID sur-le-champ et la synchroniser plus tard sans collision.

Les identifiants aléatoires apportent aussi un avantage de sécurité. Les identifiants séquentiels sont prévisibles : si votre page de commande est /commandes/1042, n'importe qui peut deviner que /commandes/1043 existe. Une URL basée sur un UUID ne peut pas être devinée, ce qui rend beaucoup plus difficile l'énumération des enregistrements d'autres personnes en comptant vers le haut. Les UUID ne remplacent pas un contrôle d'accès approprié, mais l'imprévisibilité est une couche supplémentaire utile.

Au-delà des bases de données, les UUID apparaissent comme jetons de session, identifiants de requête dans les journaux, identifiants d'appareil, noms de fichiers téléversés et identifiants de corrélation reliant une transaction distribuée — partout où une étiquette doit être unique sans faire appel à un registre central.

UUID v4 contre les autres versions

Tous les UUID ne sont pas créés de la même manière. Le chiffre de version du troisième groupe indique quelle recette a produit l'identifiant, et les versions que vous rencontrerez le plus souvent sont la v1, la v4, la v5 et la plus récente v7.

L'UUID v1 est construit à partir de l'horodatage plus l'adresse réseau de la machine. Il peut être trié par date de création, mais il laisse fuiter des informations — quiconque le lit peut retrouver approximativement quand et où il a été créé — c'est pourquoi la v1 est tombée en désuétude pour les identifiants publics.

L'UUID v4 est le pilier du système : 122 de ses 128 bits sont aléatoires, les 6 restants étant fixés pour encoder la version (4) et la variante (10xx). Il ne contient ni horodatage ni adresse de machine, donc il ne révèle rien sur l'endroit ni le moment de sa création. Pour la plupart des usages — clés de base de données, ressources d'API, données de test — la v4 est le choix par défaut.

L'UUID v5 est déterministe : il calcule un condensat à partir d'un espace de noms plus un nom, donc la même entrée produit toujours le même UUID — pratique quand tous les systèmes doivent calculer un identifiant identique pour une chose connue. L'UUID v7, un ajout plus récent, combine un horodatage avec des bits aléatoires, donnant des identifiants qui se trient approximativement par ordre de création — utile pour les index de bases de données, où des clés purement aléatoires peuvent ralentir les insertions dans de très grandes tables.

Pour la plupart des projets, le choix est simple : optez pour la v4, sauf si vous avez spécifiquement besoin de déterminisme (v5) ou d'un tri chronologique (v7).

Risques de collision : pratiquement nuls

La question évidente concernant les identifiants aléatoires est : et si deux d'entre eux se retrouvaient identiques ? Avec l'UUID v4, la réponse est que vous pouvez cesser de vous inquiéter. Un UUID v4 compte environ 122 bits aléatoires, ce qui signifie qu'il existe environ 2¹²² valeurs possibles — un nombre si grand (environ 5,3 × 10³⁶) qu'il dépasse le nombre de grains de sable sur Terre, le nombre d'étoiles dans l'univers observable et à peu près toute autre comparaison que vous pourriez imaginer.

En pratique, vous pourriez générer des milliards d'UUID par seconde pendant des années et n'avoir toujours qu'une chance infime d'obtenir un doublon. Les ingénieurs ne planifient pas en fonction des collisions d'UUID, car la probabilité est bien inférieure à celle d'une panne matérielle ordinaire corrompant les données.

Une mise en garde : le caractère aléatoire n'est bon que si sa source l'est. Un générateur doit utiliser un générateur de nombres aléatoires cryptographiquement sûr, et non une fonction pseudo-aléatoire faible. Les bibliothèques standard de Python, JavaScript, Java et d'autres langages le font par défaut — utilisez-les plutôt que de fabriquer vous-même vos propres chaînes hexadécimales aléatoires.

Générez des UUID instantanément

Le moyen le plus rapide d'obtenir un UUID est de le générer à la demande. Le générateur d'UUID gratuit de Toolinga produit des UUID de version 4 instantanément dans votre navigateur — sans inscription, sans installation et sans rien envoyer à un serveur. Vous pouvez générer un seul identifiant pour une ligne de base de données ou un test d'API, ou tout un lot quand vous avez besoin de données d'exemple, d'alimenter une suite de tests ou de simuler un ensemble d'enregistrements.

Ouvrez le générateur d'UUID, générez les identifiants dont vous avez besoin et collez-les dans votre code, votre fichier de données de test ou vos fixtures de test. Comme les UUID v4 ne portent aucune signification intrinsèque, ils peuvent être partagés sans risque dans des captures d'écran et des rapports de bogues. Et pour les identifiants de connexion, utilisez un bon générateur de mots de passe plutôt que de réutiliser des identifiants comme secrets : les UUID sont des identifiants, pas des mots de passe.

Que vous conceviez un schéma de base de données ou que vous soyez simplement curieux des étranges chaînes de caractères de vos URL, les UUID sont une invention discrète qui rend les logiciels modernes possibles : ils permettent à des systèmes indépendants de s'accorder, sans jamais se parler, pour que tout ce qu'ils nomment ait un nom bien à lui. La prochaine fois que vous en repérerez un, vous saurez exactement à quoi sert un UUID — et comment en créer un en quelques secondes.

Que signifie UUID ?

UUID signifie Universally Unique Identifier, soit identifiant universellement unique : une étiquette de 128 bits, écrite sous la forme de 32 chiffres hexadécimaux selon un schéma 8-4-4-4-12 avec des tirets, conçue pour être unique entre les systèmes sans coordination centrale.

À quoi sert un UUID le plus souvent ?

Le plus souvent, les UUID servent de clés primaires dans les bases de données, d'identifiants pour les ressources d'API, d'identifiants de session et de requête, et de noms uniques pour les fichiers et les appareils — créés indépendamment par des systèmes distribués ou hors ligne, sans risque de doublons.

Un UUID est-il la même chose qu'un mot de passe ou un jeton ?

Non. Un UUID est un identifiant, pas un secret. Les UUID de version 4 sont aléatoires et difficiles à deviner, ce qui aide à prévenir l'énumération, mais ils sont souvent visibles dans les URL et les journaux. Les secrets tels que les mots de passe et les clés d'API doivent être générés et stockés avec des outils dédiés et un hachage approprié.

Quelle version d'UUID dois-je utiliser ?

Utilisez l'UUID v4 dans la plupart des cas : il est aléatoire, ne révèle ni horodatage ni information sur la machine, et il est pris en charge partout. Choisissez la v5 quand vous avez besoin que la même entrée produise toujours le même identifiant, et la v7 quand vous voulez des identifiants qui se trient approximativement par ordre de création pour améliorer les performances de la base de données.