工作原理
此工具会检查某个密码是否出现在 Have I Been Pwned 的泄露凭据数据库中。它在你的浏览器中对密码计算 SHA-1 哈希，只把该哈希的前五个字符发送到 API。服务会返回所有匹配的哈希后缀，你的浏览器在本地完成比对——密码，乃至完整哈希，都绝不离开你的设备。这种技术称为 k-匿名。
如果某个密码在这里出现，请立即在所有地方停用它：泄露的密码是攻击者最先尝试的东西。一个不在数据库中的密码，如果很短或可预测，同样不安全——请使用强度检测器和密码管理器。
如果发现你的密码怎么办
匹配意味着这个确切的密码已经在攻击者的列表里。立即行动：
- 在所有用过它的网站上更改，用一台你信任的设备，按此顺序：先改邮箱（它能重置其他一切），再改网银及任何存有银行卡的账户，然后是社交账户。
- 如果你重复使用过它，就把每一个用过这个密码的账户都视为已被攻破，不只是泄露的那个。
- 为每个网站设置独立生成的密码，并开启双重身份验证（身份验证器应用或硬件密钥，不要用短信）。
- 也在 Have I Been Pwned 上搜索你的电子邮件地址——一次泄露通常暴露的不止密码。
- 接下来几周要提防钓鱼：攻击者手里有你的邮箱和一个旧密码，会用它们当诱饵。绝不要点击意料之外的“安全警报”链接去操作。
一个没被发现的密码，如果很短或可预测，同样不安全——保护它的是长度和随机性。