Saltar al contenido
ToolsEnglish

Seguridad

Comprobar si una contraseña se ha filtrado

Comprueba si tu contraseña aparece en filtraciones de datos conocidas. No se envía: solo sale de tu navegador un fragmento de su huella.

La contraseña no sale de tu navegador: solo se envían los 5 primeros caracteres de su huella (SHA-1) a Have I Been Pwned.

Delante, una regleta con las 40 celdas de la huella de una contraseña; las 5 primeras forman una pieza suelta. Detrás, un fichero de ocho cajones. La pieza de 5 celdas viaja hasta el fichero, se abre un cajón con fichas y se enciende un testigo. Intro, espacio o las flechas pasan de un paso a otro.

Las 5 primeras celdas: lo único que saleFichero: un cajón por cada comienzo de huellaLa contraseña no se envía nunca. El navegador calcula su huella SHA-1, de 40 caracteres, y manda solo los 5 primeros. El servicio devuelve todas las huellas filtradas que empiezan así (cientos), y es tu navegador el que busca la tuya entre ellas. Quien escucha no sabe cuál buscabas.

Cómo se usa

  1. Escribe la contraseña que quieres comprobar.
  2. Pulsa «Comprobar».
  3. Si aparece en alguna filtración, deja de usarla y cámbiala en las cuentas donde la tengas.

Preguntas frecuentes

¿Se envía mi contraseña a algún sitio?

No. Tu navegador calcula su huella (SHA-1) y envía solo sus 5 primeros caracteres a Have I Been Pwned, que devuelve cientos de huellas que empiezan igual. La búsqueda de la tuya se hace en tu dispositivo.

¿De dónde salen los datos?

Del servicio Pwned Passwords de Have I Been Pwned, que reúne cientos de millones de contraseñas reales aparecidas en filtraciones. Al consultarlo, ese servicio ve tu dirección IP, como cualquier web que visitas.

¿Qué hago si mi contraseña aparece?

Cámbiala en todas las cuentas donde la uses, empezando por el correo y el banco, y activa la verificación en dos pasos. Usa una contraseña distinta en cada cuenta.

Si no aparece, ¿es segura?

No necesariamente: solo significa que no está en las filtraciones conocidas. Una contraseña corta o fácil de adivinar sigue siendo débil.

Qué es una filtración de contraseñas

Cuando un servicio sufre un robo de datos, las contraseñas de sus usuarios acaban circulando en listas que se venden y se comparten. Los atacantes las reúnen en diccionarios enormes y las prueban de forma automática en otros servicios: es lo que se conoce como relleno de credenciales.

Por eso una contraseña filtrada es insegura aunque sea larga y complicada, y aunque la filtración no fuera de una cuenta tuya: si otra persona usó esa misma contraseña y se filtró, ya está en los diccionarios.

Cómo se comprueba sin enviar la contraseña

El método se llama k-anonimato. Tu navegador calcula la huella SHA-1 de la contraseña, una cadena de 40 caracteres, y envía al servicio Pwned Passwords solo los 5 primeros. El servicio responde con todas las huellas filtradas que empiezan igual, varios cientos, y tu navegador busca la tuya en esa lista.

El servicio no recibe la contraseña ni su huella completa, y con 5 caracteres no puede saber cuál de las cientos de candidatas estabas buscando. El resultado indica cuántas veces aparece la contraseña en las filtraciones conocidas.

Qué hacer según el resultado

Si aparece, aunque sea una sola vez, deja de usarla en todas partes. Cámbiala primero en el correo electrónico, porque quien controla tu correo puede restablecer las contraseñas de todo lo demás; después en el banco y en las cuentas con datos de pago.

Si no aparece, solo sabes que no está en las filtraciones conocidas hasta hoy. Sigue siendo necesario que sea larga, aleatoria y distinta en cada cuenta.

Otras herramientas