Contraseñas filtradas
Compruebe si una contraseña ha aparecido en una filtración de datos. La contraseña nunca sale de su navegador.
Solo se envían a Have I Been Pwned los 5 primeros caracteres del hash SHA-1 de la contraseña; la contraseña y el hash completo se quedan en su navegador.
Cómo funciona
Su navegador calcula el hash SHA-1 de la contraseña y envía solo los cinco primeros caracteres de ese hash al servicio Pwned Passwords de Have I Been Pwned. El servicio devuelve los finales de todos los hashes filtrados que empiezan por esos cinco caracteres, normalmente varios cientos, más un relleno aleatorio para que el tamaño de la respuesta no revele nada. A continuación, su navegador busca el resto de su hash en esa lista. Este método, llamado k-anonimato, hace que ni Have I Been Pwned ni AngelForce conozcan su contraseña ni su hash completo.
Cómo interpretar el resultado
Un recuento mayor que cero es el número de veces que la contraseña aparece en los datos de filtraciones. Los atacantes cargan estas listas en sus herramientas de descifrado, así que considere pública cualquier contraseña que aparezca aquí, por compleja que parezca. Que no aparezca no significa que sea robusta: una contraseña corta o previsible puede adivinarse igualmente. La comprobación solo abarca la contraseña. No indica qué cuentas ni qué filtraciones están implicadas.
Preguntas
¿Es seguro escribir aquí una contraseña real?
Solo salen de su navegador cinco caracteres del hash SHA-1, y cientos de contraseñas filtradas los comparten. No se guarda nada. Si tiene dudas, haga la comprobación desde un dispositivo de confianza.
¿Qué hago si aparece mi contraseña?
Deje de usarla. Cámbiela en todos los sitios donde la haya usado, empezando por el correo y otras cuentas importantes, y active la autenticación multifactor. Un gestor de contraseñas hace viable usar contraseñas únicas.
¿Por qué SHA-1?
Es el formato que usa el servicio Pwned Passwords para las búsquedas. Aquí SHA-1 solo sirve de índice para la consulta por rango, no como protección de la contraseña.
¿De dónde proceden los datos?
De Pwned Passwords, una colección de cientos de millones de contraseñas reales expuestas en filtraciones de datos, gestionada por Have I Been Pwned, de Troy Hunt.
¿Necesita más de lo que puede mostrar una herramienta?
Una herramienta comprueba una sola cosa. Nuestros consultores ven el conjunto.
Seguridad gestionadaArtículos relacionados
-
Ejercicio de simulación de incidentes de dos horas esta semana
Organice un ejercicio de ransomware o de robo de cuenta de dos horas con un equipo reducido, registre las carencias y conviértalas en un runbook breve.
-
Contraseñas y llaves de acceso: lo que recomienda NIST SP 800-63B-4
Las reglas actuales del NIST sobre contraseñas: mínimo de 15 caracteres, sin cambios forzosos, control de filtraciones, solidez de la MFA y passkeys.
-
Errores de seguridad con JWT y cómo evitarlos
Errores habituales con JWT: alg none, confusión RS256/HS256, secretos HMAC débiles, claims sin validar, inyección en kid, revocación y almacenamiento.