Verificador de vazamento de senhas
Verifique se uma senha apareceu em vazamentos de dados pela API de faixas do Have I Been Pwned. Só os 5 primeiros caracteres do hash SHA-1 saem do seu navegador.
Usa a API de intervalos do Have I Been Pwned com k-anonimato: só os 5 primeiros caracteres hexadecimais do hash SHA-1 saem do seu navegador, e a comparação com os sufixos retornados acontece localmente.
Esta ferramenta envia sua consulta a um serviço externo para obter dados ao vivo.
O que é Verificador de vazamento de senhas?
Esta ferramenta informa se uma senha aparece no banco de dados Pwned Passwords do Have I Been Pwned, com senhas expostas em vazamentos de dados reais, e quantas vezes. Ela usa k-anonimato, então nem a senha nem o hash completo são enviados.
Como usar Verificador de vazamento de senhas
- Digite a senha no campo Senha.
- Clique em Verificar vazamentos.
- Leia o resultado: quantas vezes ela foi vista em vazamentos, ou não encontrada.
- Compare o hash SHA-1 com o prefixo de 5 caracteres que foi realmente enviado.
Exemplo
password
SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8; prefix sent: 5BAA6; found in data breaches millions of times
A contagem exata muda à medida que o Have I Been Pwned adiciona novos vazamentos.
Quando usar Verificador de vazamento de senhas
Use antes de adotar uma senha e sempre que desconfiar que uma senha antiga vazou. Uma senha não encontrada ainda pode ser fraca; confira também a força dela. Requer conexão com a internet.
Como funciona Verificador de vazamento de senhas
O navegador calcula o hash SHA-1 da senha com a Web Crypto, envia apenas os 5 primeiros caracteres hexadecimais para https://api.pwnedpasswords.com/range/{prefix} e recebe algumas centenas de sufixos de hash com as suas contagens. O hash completo é comparado com esses sufixos localmente. Como milhares de senhas compartilham cada prefixo, o serviço não consegue saber qual delas você verificou.
Casos de Uso Comuns
- Verificar se uma senha antiga aparece em vazamentos conhecidos
- Validar uma nova senha antes de usá-la
- Demonstrar o k-anonimato em treinamentos de segurança
- Conferir senhas contra dados de vazamentos, como recomenda o NIST
Nota de Segurança
Esta ferramenta envia o prefixo SHA-1 de 5 caracteres para api.pwnedpasswords.com (Have I Been Pwned). Nenhum outro dado é transmitido.
Perguntas Frequentes
É seguro digitar minha senha aqui?
Só os 5 primeiros caracteres hex do hash SHA-1 são enviados ao Have I Been Pwned; a senha e o hash completo ficam no seu navegador. Você pode conferir isso na aba de rede do navegador.
O que significa se minha senha for encontrada?
Ela está nas listas de palavras dos atacantes. Pare de usá-la em todos os lugares, mesmo que o vazamento tenha sido em outro site.
"Não encontrada" significa que minha senha é segura?
Significa apenas que ela não está no conjunto de dados Pwned Passwords. Ela ainda pode ser fácil de adivinhar.
Por que SHA-1?
A API Pwned Passwords indexa as senhas por SHA-1. Aqui o SHA-1 é usado só como chave de consulta, não para armazenar senhas.