La contraseña no sale de tu navegador. A Have I Been Pwned llegan solo los cinco primeros caracteres de su hash SHA-1.
Cómo se comprueba sin enviarla
- 01Tu navegador calcula el hash SHA-1 de la contraseña. Es una huella de cuarenta caracteres; de ella no se puede recuperar la contraseña.
- 02Se envían a Have I Been Pwned solo los cinco primeros caracteres de esa huella. Cientos de miles de contraseñas distintas comparten cada prefijo.
- 03La API devuelve los ochocientos o mil sufijos que empiezan por ese prefijo, con relleno para que ni el tamaño de la respuesta diga nada.
- 04La comparación con tu sufijo ocurre aquí. Have I Been Pwned nunca sabe qué contraseña has comprobado ni si estaba en la lista.
¿Cómo se usa?
01
Escríbela
El campo no guarda nada ni la envía a ninguna parte. Puedes mostrarla para comprobar que no te has equivocado al teclear.
02
Comprueba
El resultado dice en cuántas filtraciones conocidas aparece. Una sola ya es suficiente para descartarla.
03
Actúa
Si aparece, cámbiala en todos los servicios donde la uses. Si no aparece, mira la longitud: es lo que de verdad la protege.
¿Qué es Have I Been Pwned?
Un servicio creado en 2013 por Troy Hunt que recopila las filtraciones de datos públicas y permite comprobar si un correo o una contraseña aparece en ellas. Su base de contraseñas se usa en gestores de contraseñas, en formularios de registro y en herramientas de las propias fuerzas de seguridad, que le ceden datos de operaciones contra el cibercrimen.
La API de contraseñas es gratuita, sin clave y sin límite, y está diseñada para que nadie, ni el propio servicio, pueda saber qué contraseña se ha consultado.
¿Qué hacer si aparece?
- 1
- Cámbiala en todos los sitios donde la uses, empezando por el correo: desde él se restablecen las demás.
- 2
- Usa un gestor de contraseñas y deja que genere una distinta para cada servicio. Reutilizar es lo que convierte una filtración en diez.
- 3
- Activa el segundo factor donde lo haya. Con él, una contraseña filtrada deja de ser suficiente para entrar.
- 4
- No la «arregles» añadiendo un número al final. Las listas de ataque ya incluyen esas variantes.
La comprobación que debería hacer todo formulario de registro
El NIST recomienda desde 2017 comparar cada contraseña nueva contra las listas de filtraciones conocidas y rechazar las que aparezcan, en lugar de exigir mayúsculas y símbolos que la gente esquiva con «Contraseña1!». Es una consulta de milisegundos y evita la mayoría de los accesos por credenciales robadas.
En los sistemas que construimos, esa comprobación va en el alta y en el cambio de contraseña, con el mismo modelo de k-anonimato que usa esta página: ni nuestro servidor ni el de Have I Been Pwned ven la contraseña de nadie.
Preguntas frecuentes
¿Es seguro escribir aquí mi contraseña?
Sí, y la razón es verificable: la contraseña no abandona tu navegador. Lo único que sale es un prefijo de cinco caracteres de su hash, compartido por cientos de miles de contraseñas, y la comparación se hace en tu equipo. Puedes comprobarlo en las herramientas de desarrollo del navegador: la única petición va a api.pwnedpasswords.com y lleva cinco caracteres en la URL.
¿Qué es el k-anonimato?
Un modelo en el que lo que envías es indistinguible de lo que enviarían al menos otras k personas. Al mandar solo cinco caracteres del hash, tu consulta es idéntica a la de cualquiera cuya contraseña empiece por el mismo prefijo, y el servicio no puede saber cuál de las cientos de miles posibles es la tuya.
¿Por qué usa SHA-1 si está roto?
Porque aquí no protege nada: es un índice. SHA-1 está roto para firmas, donde hace falta que nadie pueda fabricar dos documentos con la misma huella. Para buscar una contraseña en una lista basta con que la huella sea estable, y como nunca sale completa, su debilidad no entra en juego. Have I Been Pwned lo eligió en 2017 por compatibilidad con la base que ya existía.
¿Una contraseña que no aparece es segura?
No necesariamente. Solo significa que no está en las filtraciones públicas que Have I Been Pwned ha recopilado. «Nombre de mi perro + 2024» puede no aparecer y seguir siendo trivial de adivinar. Lo que hace fuerte una contraseña es la longitud y que no siga un patrón: una frase de cuatro o cinco palabras sin relación entre sí aguanta más que ocho caracteres con símbolos.
¿Cuántas contraseñas tiene la base?
Más de novecientos millones de contraseñas únicas procedentes de filtraciones reales, y crece cada semana con los datos que el FBI y otras fuerzas comparten con el proyecto. Es la misma base que consultan gestores de contraseñas y formularios de registro de empresas grandes.
¿Puedo comprobar si mi correo está en alguna filtración?
No desde aquí: eso es otra consulta distinta, que sí identifica a la persona, y Have I Been Pwned la ofrece en su propia web con notificaciones por correo. Esta utilidad comprueba contraseñas sueltas y por eso puede hacerlo sin saber quién eres.
¿Se guarda algo de lo que escribo?
No. El campo no se envía a ningún servidor nuestro, no se guarda en el navegador y lleva el autocompletado desactivado para que el navegador tampoco la recuerde. Al cerrar la pestaña no queda rastro.
Para entenderlo
Lo explicamos en el blog
¿Cómo crear contraseñas seguras y no olvidarlas?
Por qué la longitud pesa más que los símbolos, qué hace un gestor de contraseñas, qué verificación en dos pasos elegir y cómo ordenar las claves de un equipo.
¿Cómo saber si tu contraseña ha sido filtrada?
Qué es una filtración de contraseñas, por qué una clave robada en un servicio pone en riesgo todos los demás y cómo se comprueba sin entregarla a nadie.
¿Tu aplicación acepta contraseñas filtradas?
Añadir esta comprobación al registro y al cambio de contraseña es una tarde de trabajo. Evitar el acceso con credenciales robadas, que es la vía de entrada más común, vale bastante más.
Respondemos en menos de 24 horas hábilesBogotá · UTC−5