Comprueba si una contraseña aparece en filtraciones de datos conocidas: la contraseña nunca sale de tu navegador.
Los atacantes casi nunca adivinan contraseñas de una en una. Toman los volcados de credenciales de sitios que fueron vulnerados y prueban esas mismas contraseñas en todos los demás servicios: correo, banca, cuentas de trabajo. Eso es el credential stuffing, y funciona porque las contraseñas se reutilizan. Esta página te dice si alguna contraseña tuya ya está en esos volcados, consultando Pwned Passwords, la base de datos que mantiene Have I Been Pwned, que indexa miles de millones de contraseñas procedentes de filtraciones públicas e informa de cuántas veces distintas aparece ahí tu contraseña exacta.
Preguntarle a un servicio por una contraseña normalmente significa entregársela, que es justo lo que nunca hay que hacer. El modelo de k-anonymity elimina ese problema. Tu navegador calcula el hash SHA-1 de la contraseña, un código de 40 caracteres que no se puede revertir para recuperar el texto original, y envía solo los cinco primeros caracteres. La base de datos responde con todos los hash filtrados que empiezan por ese prefijo —un par de miles, de contraseñas que no tienen nada que ver con la tuya— y la comparación final ocurre en tu navegador. El servicio no puede saber por cuál de esos miles preguntaste. La petición lleva además una cabecera de relleno, así que todas las respuestas vuelven con un tamaño uniforme y ni siquiera su longitud revela nada. A Vai.la no llega nada: la petición va de tu navegador directamente a la base de datos de contraseñas, y esta página no guarda ni registra nada.
Una contraseña que aparezca aunque sea una sola vez hay que darla por quemada: cámbiala en todos los sitios donde la hayas usado, empezando por el correo —la cuenta que puede restablecer todas las demás— y por lo que tenga que ver con dinero. Un recuento alto significa que no solo está filtrada, sino que es común y ocupa los primeros puestos de todas las listas de los atacantes; «123456» aparece decenas de millones de veces. Un recuento de cero es una buena noticia, pero no un certificado de salud: significa que esa cadena exacta no está en la colección que indexa esta base de datos, no que nunca se haya filtrado ni que sea difícil de adivinar. Las filtraciones tardan meses en hacerse públicas, y las contraseñas cortas caen por fuerza bruta sin llegar a aparecer nunca en un volcado. La solución duradera es una contraseña distinta y aleatoria para cada sitio, guardada en un gestor de contraseñas, con autenticación en dos pasos en las cuentas que importan.
SHA-1 produce 160 bits, escritos como 40 caracteres hexadecimales. El prefijo que se envía son los 5 primeros: 20 bits, es decir, 1.048.576 prefijos posibles. Pwned Passwords indexa miles de millones de hash, así que hoy un prefijo responde con un par de miles de ellos, señuelos incluidos. El servicio se entera de un prefijo entre 1.048.576 y nunca ve los 140 bits restantes; el número exacto de hash que devolvió se muestra junto con el resultado.
No. Tu navegador calcula el hash localmente con SHA-1 y envía solo los cinco primeros caracteres de ese hash, directamente a la API de Pwned Passwords. La contraseña y los otros 35 caracteres nunca salen de la página, y Vai.la no recibe nada. Puedes comprobarlo en la pestaña de red de tu navegador.
Responde sobre el prefijo, no sobre tu contraseña. Todos los hash filtrados que empiezan por esos cinco caracteres vuelven en una sola lista —un par de miles de entradas— y quien hace la comparación es tu navegador. El servicio solo llega a ver un prefijo que comparten miles de contraseñas sin ninguna relación entre sí.
No, y esta es la parte del resultado que más se malinterpreta. Solo significa que esa cadena exacta no está en las filtraciones que indexa esta base de datos. Puede haberse filtrado en algún sitio que nunca se hizo público, y una contraseña corta o predecible se descifra adivinando, sin llegar a filtrarse nunca.
No necesariamente. El recuento indica cuántas veces aparece esa cadena de contraseña en el conjunto de las filtraciones indexadas, de cualquier usuario y de cualquier parte. Una contraseña común llega a millones de apariciones sin ninguna relación contigo, pero está en todas las listas de los atacantes, así que cámbiala allí donde la uses.
De Pwned Passwords, el servicio gratuito que mantiene el investigador de seguridad Troy Hunt como parte de Have I Been Pwned. Reúne contraseñas de filtraciones públicas y crece a medida que se procesan nuevas, así que una filtración muy reciente puede no aparecer todavía. La comprobación se hace en vivo cuando haces clic.
Vai.la convierte cualquier URL en un enlace corto con estadísticas de clics, código QR y tu propio biolink.
Vai.la no se hace responsable del uso de las herramientas ni de las decisiones tomadas a partir de sus resultados.