Verifique una contraseña con cientos de millones de contraseñas expuestas en violaciones reales, sin revelarla a nadie, incluidos nosotros. Mira, paso a paso, exactamente lo que sale de tu dispositivo.
Su navegador convierte la contraseña en una huella digital SHA-1.
Justo ????? va a Have I Been Pwned. Nunca la contraseña, nunca el hash completo.
Los atacantes primero cargan estas listas en sus herramientas. Deja de usar esta contraseña en todas partes, empezando por tu correo electrónico, y reemplázala por una única.
Eso no lo hace fuerte, sólo que no se ha filtrado hasta ahora. Vea cuánto tiempo sobreviviría a un ataque y manténgalo exclusivo para una cuenta.
Privacidad, explicada
El truco se llama k-anonimato. Revelas lo suficiente para unirte a una multitud y el servidor responde a toda la multitud.
SHA-1 gira hunter2 en 40 caracteres hexadecimales. La misma entrada da la misma huella digital; las conjeturas comunes se pueden codificar y comparar, razón por la cual SHA-1 no es apropiado para almacenar contraseñas de forma segura.
F3BBBD66A6… 30 másSólo los primeros 5 caracteres salen de su navegador. La API devuelve sufijos candidatos para ese prefijo; el número varía y no identifica por sí solo la contraseña enviada.
F3BBBenviadoD66A63D4BF…mantenido localEl servicio devuelve sufijos candidatos. La herramienta solicita relleno para reducir las diferencias en el tamaño de la respuesta, con un respaldo sin relleno si la solicitud falla. Su navegador compara el sufijo localmente.
match?decidido por tu dispositivoUna coincidencia significa que esta contraseña aparece en el conjunto de datos Pwned Passwords. No identifica cuál de sus cuentas se vio afectada. No hay coincidencia significa que no hay coincidencia en los datos devueltos en el momento de la verificación; no prueba que la contraseña sea segura o que nunca haya sido expuesta.
El cheque necesita acceso a Internet y comparte un prefijo hash de cinco caracteres con la API externa. Utilice un ejemplo inventado si sólo quiere aprender el proceso. Para conocer los próximos pasos, lea por qué cada cuenta necesita una contraseña diferente y comparar el estimación de fuerza local.
Preguntas
La contraseña tiene un hash local y solo sus primeros cinco caracteres hash se envían a Pwned Passwords. La comparación ocurre en su navegador. Esto limita la divulgación pero no es una garantía completa de anonimato. Utilice un ejemplo inventado para aprender el proceso.
Un prefijo hash parcial agrupa la búsqueda con otros candidatos. La API devuelve sufijos coincidentes y el navegador los compara localmente. La herramienta solicita respuestas rellenas, con un respaldo si esa solicitud falla.
Deja de usarlo en todas partes, empezando por tu correo electrónico y cualquier cuenta que comparta la misma contraseña. Reemplace cada uno con una contraseña única del generador, guárdelos en un gestor de contraseñas y active la autenticación multifactor.
No se encontró ninguna coincidencia en los datos Pwned Passwords devueltos. Eso no prueba que la contraseña sea segura o que se conozcan todas las infracciones. Verifique sus patrones con la prueba de fuerza y manténgalo exclusivo para una cuenta.
De Pwned Passwords a Have I Been Pwned, un servicio gratuito dirigido por el investigador de seguridad Troy Hunt. Agrega contraseñas de filtraciones de datos públicos y lo utilizan gestores de contraseñas y proveedores de identidades en todo el mundo.
Esta herramienta sólo comprueba las contraseñas. Para comprobar una dirección de correo electrónico, utilice la búsqueda en haveibeenpwned.com directamente.
Contraseñas, frases de contraseña o PIN aleatorios, creados por la API Web Crypto en su dispositivo.
Abrir herramientaPalabras aleatorias fáciles de recordar, con una estimación de entropía basada en la lista española.
Abrir herramientaUna clave fuerte WPA2/WPA3 y un código QR que tus invitados escanean para unirse, con una tarjeta para imprimir.
Abrir herramientaVea su contraseña como lo hace un atacante: patrones, entropía y cuatro escenarios de descifrado.
Abrir herramientaInspeccione una URL y su nombre de host real localmente, sin abrir el destino.
Abrir herramientaAjustes preestablecidos de NIST, PCI DSS y CIS con scripts de Windows, Active Directory y Linux listos para ejecutar.
Abrir herramientaCuánto resiste cada longitud y combinación de caracteres ante un equipo moderno de GPU.
Abrir herramientaImporta la exportación de tu gestor de contraseñas y detecta contraseñas reutilizadas, débiles o filtradas, sin salir de tu dispositivo.
Abrir herramientaUna contraseña segura que aún se adapta a sitios web exigentes: longitud máxima, símbolos permitidos, tipos requeridos.
Abrir herramientaDoce mensajes realistas. ¿Puedes distinguir las estafas de las reales? Compártelo con tu equipo.
Abrir herramientaCalifique la seguridad de la cuenta de su empresa en cinco minutos e imprima un plan de acción priorizado.
Abrir herramientaQué método 2FA elegir y cómo activarlo para Google, Microsoft, Apple y más.
Abrir herramienta