Cómo usar: Comprobador de Contraseñas Filtradas
- Escribe o pega la contraseña que quieres comprobar. Se queda en esta página.
- Haz clic en Comprobar. Tu navegador calcula el hash SHA-1 y envía a Have I Been Pwned solo sus primeros 5 caracteres.
- El servicio devuelve todos los hashes filtrados con ese prefijo; tu navegador busca una coincidencia completa en local.
- Si aparece, deja de usar esa contraseña en todas partes y cámbiala por una única de un gestor de contraseñas.
Cómo comprueba sin enviar tu contraseña
Esto usa el modelo de k-anonimato del servicio Pwned Passwords de Have I Been Pwned. Tu navegador calcula el hash SHA-1 de la contraseña (por ejemplo 5BAA6… para «password») y solicita /range/5BAA6. El servicio responde con los unos ~800 hashes filtrados que empiezan por esos 5 caracteres, y el navegador busca el tuyo. Nadie —ni devpack ni el servicio— conoce tu contraseña ni su hash completo. Las peticiones se rellenan para que el tamaño de la respuesta no revele nada.
Qué significa el resultado
- Encontrada: la contraseña está en listas de filtraciones que los atacantes usan para el «credential stuffing». Cámbiala en todos los sitios donde la usaste, aunque parezca segura.
- No encontrada: no aparece en filtraciones conocidas. Eso no la hace fuerte: las contraseñas cortas o fáciles de adivinar aún pueden descifrarse. Compruébala con el Comprobador de fortaleza de contraseñas.
Buenos hábitos con las contraseñas
Usa una contraseña distinta para cada sitio (un gestor de contraseñas lo hace fácil), activa la autenticación en dos pasos y genera contraseñas largas y aleatorias con el Generador de contraseñas.
Datos: Pwned Passwords de Troy Hunt, CC BY 4.0.
También se busca como: comprobar contraseña filtrada, ¿mi contraseña ha sido filtrada?, pwned passwords, comprobar filtración de contraseña, haveibeenpwned contraseña, contraseña comprometida, verificar contraseña hackeada, filtración de datos contraseña.
Herramientas que combinan con: Comprobador de Contraseñas Filtradas
- Generador de Hash — Calcula al instante hashes MD5 y SHA de cualquier texto o archivo, crea firmas HMAC y pega un checksum esperado para verificar una descarga.
- Generador TOTP — Pega una clave secreta Base32 para ver el código 2FA de 6 dígitos actual con una cuenta atrás en vivo, justo lo que mostrarían Google Authenticator, Authy o 1Password.
- Generador y verificador de Bcrypt — Crea hashes bcrypt para usuarios de prueba, datos de ejemplo o archivos de configuración, y comprueba si una contraseña coincide con un hash guardado, sin enviar nada a ningún servidor.
- Comprobador de cabeceras de seguridad — Califica las cabeceras de seguridad HTTP de una web de A+ a F, mira cuáles faltan y por qué importan, y copia fragmentos de configuración listos para Nginx, Apache, Netlify, Vercel o Cloudflare.