Descubra se uma senha aparece em vazamentos de dados conhecidos — a senha em si nunca sai do seu navegador.
Atacantes raramente ficam adivinhando senhas uma a uma. Eles pegam os despejos de credenciais de sites invadidos e testam essas mesmas senhas em todos os outros serviços — e-mail, banco, contas de trabalho. Isso é credential stuffing, e funciona porque as pessoas reaproveitam senhas. Esta página diz se uma senha sua já está nesses despejos, consultando a Pwned Passwords, a base mantida pelo Have I Been Pwned, que indexa bilhões de senhas de vazamentos públicos e informa quantas vezes distintas a sua senha exata aparece por lá.
Perguntar a um serviço sobre uma senha normalmente significa entregar a senha — exatamente o que você nunca deve fazer. O modelo de k-anonymity elimina esse problema. O seu navegador calcula o hash SHA-1 da senha, um código de 40 caracteres que não pode ser revertido ao texto original, e envia só os cinco primeiros caracteres dele. A base responde com todos os hashes vazados que começam com esse prefixo — alguns milhares deles, de senhas que não têm nada a ver com a sua — e a comparação final acontece no seu navegador. O serviço não tem como saber sobre qual desses milhares você perguntou. A requisição ainda leva um cabeçalho de padding, para que toda resposta volte com um tamanho uniforme e nem o comprimento dela entregue alguma coisa. Nada chega ao Vai.la: a requisição vai do seu navegador direto para a base de senhas, e esta página não guarda nem registra nada.
Uma senha encontrada, mesmo que uma única vez, deve ser tratada como queimada: troque em todos os lugares onde você a usou, começando pelo e-mail — a conta que consegue redefinir todas as outras — e por qualquer coisa financeira. Uma contagem alta significa que ela não é só vazada, é comum, e está no topo de todas as listas de palavras dos atacantes; "123456" aparece dezenas de milhões de vezes. Contagem zero é uma boa notícia, mas não é atestado de saúde: quer dizer que essa sequência exata não está no acervo que esta base indexa, não que ela nunca vazou e não que seja difícil de adivinhar. Vazamentos levam meses até se tornarem públicos, e senhas curtas caem por força bruta sem nunca aparecer num despejo. A correção duradoura é uma senha aleatória e diferente para cada site, guardada num gerenciador de senhas, com autenticação em duas etapas nas contas que importam.
O SHA-1 produz 160 bits, escritos como 40 caracteres hexadecimais. O prefixo enviado são os 5 primeiros deles — 20 bits, ou 1.048.576 prefixos possíveis. A Pwned Passwords indexa bilhões de hashes, então hoje um prefixo é respondido com alguns milhares deles, contando os falsos. O serviço fica sabendo de um prefixo entre 1.048.576 e nunca vê os 140 bits restantes; a quantidade exata de hashes devolvidos é mostrada junto com o resultado.
Não. O seu navegador gera o hash localmente com SHA-1 e envia só os cinco primeiros caracteres desse hash, direto para a API da Pwned Passwords. A senha e os outros 35 caracteres nunca saem da página, e o Vai.la não recebe nada. Você pode conferir na aba de rede do seu navegador.
Ela responde sobre o prefixo, não sobre a sua senha. Todos os hashes vazados que começam com esses cinco caracteres voltam numa única lista — alguns milhares de entradas — e o seu navegador faz a comparação. O serviço só chega a ver um prefixo compartilhado por milhares de senhas sem relação nenhuma entre si.
Não, e essa é a parte do resultado que mais se interpreta errado. Quer dizer apenas que essa sequência exata não está nos vazamentos que esta base indexa. Ela pode ter vazado em algum lugar que nunca se tornou público, e uma senha curta ou previsível é quebrada por tentativa e erro sem nunca ter vazado.
Não necessariamente. A contagem é quantas vezes aquela sequência de senha aparece em todos os vazamentos indexados, de qualquer usuário em qualquer lugar. Uma senha comum chega a milhões de ocorrências sem nenhuma ligação com você — mas está em todas as listas de palavras dos atacantes, então troque onde quer que você a use.
Da Pwned Passwords, o serviço gratuito mantido pelo pesquisador de segurança Troy Hunt como parte do Have I Been Pwned. Ele reúne senhas de vazamentos públicos e cresce à medida que novos são processados, então um vazamento muito recente pode ainda não aparecer. A consulta é feita ao vivo quando você clica.
O Vai.la transforma qualquer URL em um link curto com estatísticas de cliques, QR Code e seu próprio biolink.
O Vai.la não se responsabiliza pelo uso das ferramentas nem por decisões tomadas com base nos seus resultados.