Comprobador de filtraciones de contraseñas
Comprueba si una contraseña apareció en filtraciones de datos con la API de rangos de Have I Been Pwned. Solo salen de tu navegador 5 caracteres de su hash SHA-1.
Usa la API de rangos de Have I Been Pwned con k-anonimato: solo salen de tu navegador los 5 primeros caracteres hexadecimales del hash SHA-1, y la comparación con los sufijos devueltos se hace localmente.
Esta herramienta envía tu consulta a un servicio externo para obtener datos en tiempo real.
¿Qué es Comprobador de filtraciones de contraseñas?
Esta herramienta te dice si una contraseña aparece en Pwned Passwords, la base de datos de Have I Been Pwned con contraseñas expuestas en filtraciones reales, y cuántas veces. Usa k-anonimato, así que nunca se envían ni la contraseña ni su hash completo.
Cómo usar Comprobador de filtraciones de contraseñas
- Escribe la contraseña en el campo Contraseña.
- Haz clic en Comprobar filtraciones.
- Lee el resultado: cuántas veces se vio en filtraciones o si no se encontró.
- Compara el hash SHA-1 con el prefijo de 5 caracteres que realmente se envió.
Ejemplo
password
SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8; prefix sent: 5BAA6; found in data breaches millions of times
El recuento exacto cambia a medida que Have I Been Pwned añade nuevas filtraciones.
Cuándo usar Comprobador de filtraciones de contraseñas
Úsalo antes de adoptar una contraseña y siempre que sospeches que una contraseña antigua se filtró. Una contraseña que no aparece puede ser débil igualmente; comprueba también su seguridad. Requiere conexión a internet.
Cómo funciona Comprobador de filtraciones de contraseñas
El navegador calcula el hash SHA-1 de la contraseña con Web Crypto, envía solo los 5 primeros caracteres hexadecimales a https://api.pwnedpasswords.com/range/{prefix} y recibe varios cientos de sufijos de hash con sus recuentos. El hash completo se compara con esos sufijos localmente. Como miles de contraseñas comparten cada prefijo, el servicio no puede saber cuál comprobaste.
Casos de Uso Comunes
- Comprobar si una contraseña antigua aparece en filtraciones conocidas
- Validar una contraseña nueva antes de usarla
- Demostrar el k-anonimato en formaciones de seguridad
- Contrastar contraseñas con datos de filtraciones, como recomienda NIST
Nota de Seguridad
Esta herramienta envía el prefijo SHA-1 de 5 caracteres a api.pwnedpasswords.com (Have I Been Pwned). No se transmite ningún otro dato.
Preguntas Frecuentes
¿Es seguro escribir aquí mi contraseña?
Solo se envían a Have I Been Pwned los 5 primeros caracteres hexadecimales del hash SHA-1; la contraseña y el hash completo se quedan en tu navegador. Puedes comprobarlo en la pestaña de red de tu navegador.
¿Qué significa que se encuentre mi contraseña?
Que está en las listas de palabras de los atacantes. Deja de usarla en todas partes, aunque la filtración fuera de otro sitio.
¿«No encontrada» significa que mi contraseña es segura?
Solo significa que no está en el conjunto de datos de Pwned Passwords. Puede seguir siendo fácil de adivinar.
¿Por qué SHA-1?
La API de Pwned Passwords indexa las contraseñas por SHA-1. Aquí SHA-1 solo se usa como clave de búsqueda, no para almacenar contraseñas.