Как пользоваться: Проверка утечки пароля
- Введите или вставьте пароль, который хотите проверить. Он остаётся на этой странице.
- Нажмите Проверить. Ваш браузер вычислит хеш SHA-1 и отправит в Have I Been Pwned только его первые 5 символов.
- Сервис вернёт все слитые хеши с таким префиксом, а ваш браузер локально проверит полное совпадение.
- Если пароль найден, перестаньте использовать его везде и замените на уникальный из менеджера паролей.
Как проверка работает без отправки пароля
Используется модель k-anonymity сервиса Pwned Passwords от Have I Been Pwned. Ваш браузер хеширует пароль алгоритмом SHA-1 (например, 5BAA6… для «password») и запрашивает /range/5BAA6. Сервис отвечает всеми примерно 800 слитыми хешами, которые начинаются с этих 5 символов, а браузер ищет среди них ваш. Никто — ни devpack, ни сервис — не узнаёт ни ваш пароль, ни даже его полный хеш. Запросы дополняются случайными данными, поэтому размер ответа ничего не раскрывает.
Что означает результат
- Найден: пароль есть в списках утечек, которые злоумышленники используют для «credential stuffing». Смените его на всех сайтах, где вы его использовали, даже если он кажется надёжным.
- Не найден: в известных утечках его нет. Это не делает пароль надёжным: короткие или простые пароли всё равно можно подобрать. Проверьте его в Проверке надёжности пароля.
Полезные привычки
Используйте разный пароль для каждого сайта (менеджер паролей упрощает это), включите двухфакторную аутентификацию и создавайте длинные случайные пароли с помощью генератора паролей.
Данные: Pwned Passwords от Troy Hunt, CC BY 4.0.
Также ищут как: pwned passwords, haveibeenpwned пароль.
Инструменты, которые хорошо сочетаются с Проверка утечки пароля
- Генератор хешей — Мгновенно вычисляйте хеши MD5 и SHA для любого текста или файла, создавайте подписи HMAC и вставляйте ожидаемую контрольную сумму, чтобы проверить загрузку.
- Генератор TOTP — Вставьте секретный ключ Base32, чтобы увидеть текущий 6-значный код 2FA с обратным отсчётом — ровно то, что покажут Google Authenticator, Authy или 1Password.
- Bcrypt генератор и проверка — Создавайте хеши bcrypt для тестовых пользователей, демо-данных или конфигурационных файлов и проверяйте, совпадает ли пароль с сохранённым хешем.
- Проверка заголовков безопасности — Оцените HTTP-заголовки безопасности сайта от A+ до F, узнайте, каких не хватает и почему они важны, и скопируйте готовые фрагменты конфигурации для Nginx, Apache, Netlify, Vercel или Cloudflare.
Часто задаваемые вопросы
Безопасно ли вводить здесь мой пароль?
Да. Пароль хешируется в вашем браузере, и наружу уходят только первые 5 символов хеша. По ним ни devpack, ни Have I Been Pwned не могут восстановить пароль.
Мой пароль найден — что делать?
Перестаньте его использовать. Смените пароль во всех аккаунтах, где он применялся, используйте уникальный пароль для каждого сайта и включите двухфакторную аутентификацию.
Если пароль не найден, значит он безопасен?
Это значит, что его нет в известных утечках. Он всё равно может быть слабым, поэтому используйте длинный случайный пароль, который не повторяется на других сайтах.
Откуда берутся данные об утечках?
Из сервиса Pwned Passwords от Have I Been Pwned, который собирает пароли из публичных утечек данных.
Можно ли установить Проверка утечки пароля как веб-приложение и пользоваться им офлайн?
Да. Проверка утечки пароля — это веб-приложение (PWA), которое можно установить из браузера, без скачивания из магазина приложений. В Chrome или Edge (Windows, macOS, Linux, ChromeOS) или на Android нажмите вверху этой страницы «Установить приложение»; на iPhone и iPad используйте «Поделиться → На экран «Домой»», а в Safari 17+ на Mac — «Файл → Добавить в Dock». После этого приложение откроется в отдельном окне со своим значком, и так как оно полностью работает в браузере, оно продолжит работать офлайн. Firefox на компьютере не умеет устанавливать веб-приложения. Как работает установка.