Como funciona
Esta ferramenta verifica se uma senha aparece no banco de credenciais vazadas do Have I Been Pwned. Ela calcula o hash SHA-1 da senha no seu navegador e envia à API apenas os cinco primeiros caracteres desse hash. O serviço devolve todos os sufixos de hash que combinam e o seu navegador encontra a correspondência localmente — a senha, e até o hash completo, nunca saem do seu dispositivo. Essa técnica se chama k-anonimato.
Se uma senha aparecer aqui, pare de usá-la em todo lugar: senhas vazadas são a primeira coisa que os atacantes testam. Uma senha que não está no banco ainda não é segura se for curta ou previsível — use o verificador de força e um gerenciador de senhas.
O que fazer se a sua senha foi encontrada
Uma correspondência significa que essa senha exata já está nas listas dos atacantes. Aja agora:
- Troque em todos os sites onde a usou, de um dispositivo confiável, nesta ordem: primeiro o e-mail (pode redefinir todo o resto), depois o banco e qualquer conta com cartão salvo, e então as redes sociais.
- Se você a reutilizava, considere toda conta que teve essa senha como comprometida — não só a que vazou.
- Defina uma senha única gerada por site e ative a autenticação em dois fatores (app autenticador ou chave física, não SMS).
- Procure também o seu endereço de e-mail no Have I Been Pwned — um vazamento costuma expor mais do que a senha.
- Conte com phishing nas semanas seguintes: os atacantes têm o seu e-mail e uma senha antiga e vão usá-los como isca. Nunca aja a partir de um link inesperado de “alerta de segurança”.
Uma senha que não foi encontrada ainda não é segura se for curta ou previsível — o que a protege é o comprimento e a aleatoriedade.
Gerou uma senha forte? Você precisa de um lugar seguro para guardá-la →
Termos relacionados: Credential stuffing · Vazamento de dados · Hash · Salt (salga) · Gerenciador de senhas