密码泄露检测器
通过 Have I Been Pwned 的范围 API 检查密码是否出现在数据泄露中。只有其 SHA-1 哈希的前 5 个字符会离开你的浏览器。
使用 Have I Been Pwned 的范围查询 API（k-匿名）：只有 SHA-1 哈希的前 5 个十六进制字符会离开你的浏览器，与返回后缀的比对在本地完成。
此工具会将您的查询发送到外部服务以获取实时数据。
什么是 密码泄露检测器？
此工具告诉你某个密码是否出现在 Have I Been Pwned 的 Pwned Passwords 数据库（收录了在真实数据泄露中暴露的密码）中，以及出现了多少次。它使用 k-匿名，因此密码及其完整哈希都不会被发送。
如何使用 密码泄露检测器
- 在密码栏中输入密码。
- 点击检查泄露。
- 查看结果：它在泄露中出现了多少次，或未找到。
- 对比 SHA-1 哈希和实际发送的 5 个字符的前缀。
示例
password
SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8; prefix sent: 5BAA6; found in data breaches millions of times
随着 Have I Been Pwned 添加新的泄露，确切次数会变化。
何时使用 密码泄露检测器
在采用某个密码之前，以及你怀疑旧密码已泄露时使用。未找到的密码仍可能很弱；也请检查它的强度。需要联网。
密码泄露检测器 的工作原理
浏览器用 Web Crypto 计算密码的 SHA-1 哈希，只把前 5 个十六进制字符发送到 https://api.pwnedpasswords.com/range/{prefix}，并接收数百个哈希后缀及其出现次数。完整哈希在本地与这些后缀比对。由于每个前缀对应成千上万个密码，服务无法得知你检查的是哪一个。
常见用例
- 检查旧密码是否出现在已知泄露中
- 在使用新密码前进行验证
- 在安全培训中演示 k-匿名
- 按 NIST 的建议对照泄露数据抽查密码
安全提示
此工具会把 5 个字符的 SHA-1 前缀发送到 api.pwnedpasswords.com（Have I Been Pwned）。不会传输任何其他数据。
常见问题
在这里输入密码安全吗？
只有 SHA-1 哈希的前 5 个十六进制字符会发送给 Have I Been Pwned；密码和完整哈希都留在你的浏览器里。你可以在浏览器的网络面板中验证这一点。
如果我的密码被找到了，意味着什么？
它已经在攻击者的词表里了。请在所有地方停止使用它，即使泄露发生在另一个网站。
“未找到”是否意味着我的密码安全？
只意味着它不在 Pwned Passwords 数据集中。它仍可能很容易被猜到。
为什么用 SHA-1？
Pwned Passwords API 以 SHA-1 为密码建立索引。这里 SHA-1 只是用作查找键，而不是用来存储密码。