Verificador de Senhas Vazadas

O que faz

Reutilizar uma senha que já vazou é uma das formas mais comuns de contas serem tomadas. Esta ferramenta verifica uma senha contra o Pwned Passwords — o corpus de centenas de milhões de senhas reais de vazamentos conhecidos mantido pelo Have I Been Pwned (HIBP) — e diz quantas vezes ela apareceu em um vazamento.

Ela faz isso com k-anonimato: o

hashhashA one-way function that maps data of any size to a fixed-length digest. Same input, same digest; any change, different digest; not reversible.

SHA-1 da senha é calculado no seu navegador, e apenas os primeiros 5 caracteres do

hashhashA one-way function that maps data of any size to a fixed-length digest. Same input, same digest; any change, different digest; not reversible.

são enviados à API. A API responde com todo sufixo de

hashhashA one-way function that maps data of any size to a fixed-length digest. Same input, same digest; any change, different digest; not reversible.

vazado que compartilha esse prefixo (cerca de 800 candidatos), e seu navegador casa os 35 caracteres restantes localmente. A API nunca vê informação suficiente para reconstruir sua senha - nem mesmo um operador hostil poderia descobri-la.

Como usar

1. Digite ou cole uma senha no campo. Use o interruptor de olho para mostrá-la ou escondê-la.
2. Clique em Check password (ou pressione Enter). A consulta leva um momento, enquanto o

   hashhashA one-way function that maps data of any size to a fixed-length digest. Same input, same digest; any change, different digest; not reversible.

   é calculado e o intervalo é buscado.
3. Leia o veredito: uma caixa verde significa que a senha não foi encontrada em nenhum vazamento conhecido; uma caixa vermelha mostra exatamente em quantos vazamentos ela apareceu.
4. Expanda How k-anonymity protects your password para ver o prefixo do

   hashhashA one-way function that maps data of any size to a fixed-length digest. Same input, same digest; any change, different digest; not reversible.

   que foi enviado e quantos hashes candidatos foram verificados localmente.

Se a consulta não alcançar a API, a ferramenta diz isso explicitamente - uma rede inalcançável nunca é relatada como “nenhum vazamento encontrado”.

Exemplos

Verificando a senha password:

SHA-1          5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
Enviado à API  5BAA6        (os únicos 5 caracteres que saem do seu navegador)
Verificados    ~800 sufixos candidatos retornados para esse prefixo, casados localmente
Resultado      Esta senha apareceu em 3,7M+ vazamentos de dados ✗ (a contagem ao vivo é exibida)

Verificando uma senha longa e aleatória:

Entrada        Zx9#qL-vTtR2mW4n
Fluxo          hash localmente → envia o prefixo de 5 caracteres → casa o sufixo contra ~800 candidatos
Resultado      Esta senha não foi encontrada em nenhum vazamento conhecido ✓

Bom saber

• Sua senha nunca sai do seu navegador. O

  hashhashA one-way function that maps data of any size to a fixed-length digest. Same input, same digest; any change, different digest; not reversible.

  SHA-1 é calculado localmente com a Web Crypto API, e apenas 5 de seus 40 caracteres hexadecimais são transmitidos. Esse prefixo identifica um conjunto de ~800 hashes, não a sua senha.
• “Não encontrada” não é “forte”. A verificação só diz que a senha exata está ausente dos corpora de vazamentos conhecidos. Palpites no estilo Tr0ub4dor&3 podem estar ausentes e ainda assim ser fracos - combine esta ferramenta com o Password Strength Analyser e uma senha gerada.
• SHA-1 serve aqui. O

  hashhashA one-way function that maps data of any size to a fixed-length digest. Same input, same digest; any change, different digest; not reversible.

  é usado como chave de busca, não para autenticação. Um ataque de preimage sobre o SHA-1 não ajudaria um atacante que só recebe 5 caracteres hexadecimais dele.
• Ferramentas relacionadas: Password Strength Analyser, Password Generator, Passphrase Generator.