Como usar: Verificador de Senha Vazada
- Digite ou cole a senha que você quer verificar. Ela fica somente nesta página.
- Clique em Verificar. Seu navegador calcula o hash SHA-1 e envia apenas os 5 primeiros caracteres para o Have I Been Pwned.
- O serviço retorna todos os hashes vazados com esse prefixo; seu navegador procura uma correspondência completa localmente.
- Se a senha foi encontrada, pare de usá-la em todos os lugares e troque por uma senha única, criada em um gerenciador de senhas.
Como a verificação funciona sem enviar sua senha
Isso usa o modelo de k-anonymity do serviço Pwned Passwords, do Have I Been Pwned. Seu navegador gera o hash da senha com SHA-1 (por exemplo 5BAA6… para “password”) e faz a requisição para /range/5BAA6. O serviço responde com todos os cerca de 800 hashes vazados que começam com esses 5 caracteres, e o navegador procura o seu. Ninguém — nem a devpack, nem o serviço — descobre sua senha ou nem mesmo o hash completo. As requisições são preenchidas para que o tamanho da resposta não revele nada.
O que o resultado significa
- Encontrada: a senha está nas listas de vazamentos que atacantes usam em “credential stuffing”. Troque-a em todos os sites onde você a usou, mesmo que pareça forte.
- Não encontrada: ela não está em vazamentos conhecidos. Isso não significa que ela é forte — senhas curtas ou previsíveis ainda podem ser quebradas. Teste-a com o Verificador de Força de Senha.
Bons hábitos com senhas
Use uma senha diferente para cada site (um gerenciador de senhas facilita isso), ative a autenticação de dois fatores e gere senhas longas e aleatórias com o Gerador de Senhas.
Dados: Pwned Passwords por Troy Hunt, CC BY 4.0.
Também pesquisado como: verificar senha vazada, minha senha foi vazada, pwned passwords, checar vazamento de senha, verificar vazamento de dados de senha, haveibeenpwned senha, minha senha está comprometida.
Ferramentas que combinam com: Verificador de Senha Vazada
- Gerador de Hash — Calcule hashes MD5 e SHA de qualquer texto ou arquivo na hora, crie assinaturas HMAC e cole um checksum esperado para verificar um download.
- Gerador TOTP — Cole uma chave Base32 para ver o código 2FA de 6 dígitos atual, com contagem regressiva ao vivo — exatamente o que o Google Authenticator, Authy ou 1Password mostrariam.
- Gerador e Verificador Bcrypt — Crie hashes bcrypt para usuários de teste, dados de exemplo ou arquivos de configuração e confira se uma senha corresponde a um hash armazenado, sem enviar nada para outro lugar.
- Verificador de Headers de Segurança — Dê uma nota de A+ a F aos headers de segurança HTTP de um site, veja quais estão faltando e por que eles importam, e copie trechos de configuração prontos para Nginx, Apache, Netlify, Vercel ou Cloudflare.