Cách dùng Kiểm tra mật khẩu bị lộ
- Nhập hoặc dán mật khẩu bạn muốn kiểm tra. Mật khẩu chỉ ở lại trên trang này.
- Nhấn Kiểm tra. Trình duyệt tính mã băm SHA-1 và chỉ gửi 5 ký tự đầu tiên tới Have I Been Pwned.
- Dịch vụ trả về mọi mã băm bị lộ có tiền tố đó; trình duyệt sẽ tìm kết quả khớp hoàn toàn ngay trên máy bạn.
- Nếu mật khẩu đã bị lộ, hãy ngừng dùng nó ở mọi nơi và chuyển sang một mật khẩu duy nhất lấy từ trình quản lý mật khẩu.
Cách kiểm tra mà không gửi mật khẩu của bạn
Công cụ này dùng mô hình k-anonymity của dịch vụ Pwned Passwords thuộc Have I Been Pwned. Trình duyệt băm mật khẩu bằng SHA-1 (ví dụ 5BAA6… với “password”) và gửi yêu cầu /range/5BAA6. Dịch vụ trả về khoảng ~800 mã băm bị lộ bắt đầu bằng 5 ký tự đó, rồi trình duyệt so khớp với mã của bạn. Không ai — kể cả devpack hay dịch vụ — biết được mật khẩu hay toàn bộ mã băm của bạn. Các yêu cầu được đệm thêm để kích thước phản hồi không tiết lộ gì.
Ý nghĩa của kết quả
- Đã tìm thấy: mật khẩu nằm trong danh sách rò rỉ mà kẻ tấn công dùng cho “credential stuffing”. Hãy đổi nó trên mọi trang bạn từng dùng, kể cả khi nó trông có vẻ mạnh.
- Không tìm thấy: mật khẩu không nằm trong các vụ rò rỉ đã biết. Điều đó không có nghĩa là mật khẩu mạnh — mật khẩu ngắn hoặc dễ đoán vẫn có thể bị bẻ khóa. Hãy kiểm tra bằng Kiểm tra độ mạnh mật khẩu.
Thói quen mật khẩu tốt
Dùng mật khẩu khác nhau cho mỗi trang (trình quản lý mật khẩu giúp việc này dễ dàng), bật xác thực hai yếu tố, và tạo mật khẩu dài, ngẫu nhiên bằng Tạo mật khẩu.
Dữ liệu: Pwned Passwords của Troy Hunt, CC BY 4.0.
Cũng được tìm dưới tên: mật khẩu có bị rò rỉ không, kiểm tra rò rỉ mật khẩu, mật khẩu bị xâm phạm, kiểm tra mật khẩu đã bị lộ chưa, have i been pwned mật khẩu, password breach checker, check password leak.
Các công cụ dùng kèm tốt với Kiểm tra mật khẩu bị lộ
- Tạo mã Hash — Tính mã hash MD5 và SHA cho mọi văn bản hoặc file ngay lập tức, tạo chữ ký HMAC và dán checksum mong đợi để kiểm tra file tải về.
- Tạo mã TOTP — Dán khóa bí mật Base32 để xem mã 2FA 6 số hiện tại với đồng hồ đếm ngược trực tiếp, giống hệt những gì Google Authenticator, Authy hoặc 1Password hiển thị.
- Công cụ tạo & kiểm tra Bcrypt — Tạo hash bcrypt cho tài khoản thử nghiệm, dữ liệu mẫu hoặc file cấu hình, và kiểm tra xem một mật khẩu có khớp với hash đã lưu hay không — mà không gửi bất kỳ dữ liệu nào lên máy chủ.
- Kiểm tra Security Headers — Chấm điểm security headers HTTP của website từ A+ đến F, xem header nào đang thiếu và vì sao chúng quan trọng, rồi sao chép đoạn cấu hình sẵn cho Nginx, Apache, Netlify, Vercel hoặc Cloudflare.