Por qué usar passcheck
- HIBP y k-anonimato. El SHA-1 se calcula en el navegador; solo un prefijo corto del hash llega a la API.
- Entropía local. Estimación de fuerza por longitud y clases de caracteres — en su dispositivo.
- Sin contraseña en nuestro backend. No recibimos ni almacenamos lo que escribe.
- Resultados claros. Encontrada / no encontrada; si aparece, un conteo aproximado de HIBP.
- Límites honestos. Sin promesa de seguridad absoluta: corpus HIBP más una heurística.
- Gratis y multilingüe. Sin cuenta; UI y SEO en cada idioma del conjunto.
- Con generador. Cree una nueva en passgen.dmosk.net.
Cómo comprobar una contraseña
- Introduzca la contraseña (opcionalmente muéstrela u ocúltela).
- Pulse Comprobar: el navegador calcula SHA-1 y consulta HIBP por prefijo.
- Lea el estado de filtración y la estimación local (bits, longitud, alfabeto).
- Si aparece, cámbiela donde aún se use; genere una nueva con passgen.
Higiene de contraseñas y HIBP
Have I Been Pwned reúne hashes de filtraciones conocidas. Una coincidencia significa que esa cadena ya apareció en datos filtrados: deje de usarla. La fuerza es una heurística, no sustituye una contraseña aleatoria única.
Consejos:
- Use una contraseña única en cada servicio.
- Guárdelas en un gestor, no en notas ni chats.
- Longitud y variedad superan palabras “ingeniosas” del diccionario.
- Active la autenticación en dos pasos cuando pueda.
- Si HIBP la encuentra, cámbiela en todos los sitios donde aún valga.
- “No encontrada” en HIBP no significa “segura para siempre”.
- Para una nueva, use passgen.
- No escriba contraseñas en sitios dudosos: esta herramienta no las envía a nuestro servidor.
Para qué sirve
- ver rápido si una contraseña aparece en filtraciones conocidas;
- obtener una lectura aproximada de entropía antes de rotarla;
- explicar el riesgo de reutilizar o usar claves débiles;
- continuar con el generador en passgen;
- hacerlo sin subir la contraseña a nuestro servidor.
Preguntas frecuentes
¿Qué es el k-anonimato con HIBP?
El navegador calcula el SHA-1 y envía solo los primeros caracteres del hash. HIBP devuelve sufijos de ese prefijo; la coincidencia completa se comprueba en local: la contraseña completa no va a la API.
¿Se sube la contraseña a nosotros?
No. No la recibimos ni la almacenamos. Solo un prefijo SHA-1 corto va a la API de HIBP.
¿Qué es Have I Been Pwned?
Proyecto de Troy Hunt que agrega hashes de filtraciones públicas. passcheck usa su API de rangos para comprobar sin enviar la contraseña completa.
¿Qué significa el conteo “vista N veces”?
Un número aproximado de apariciones en los datos de HIBP. Cuanto más alto, más ha circulado: cámbiela.
¿Qué significa la estimación de entropía?
Heurística aproximada: longitud × log2 de un alfabeto estimado por clases. No es una auditoría de laboratorio ni una garantía.
¿“No encontrada” implica seguridad absoluta?
No. HIBP es incompleto; la contraseña puede ser débil o haberse filtrado fuera de ese corpus.
¿Dónde obtener una nueva?
Abra passgen.dmosk.net: se crea en el navegador.
¿Es gratis?
Sí: sin registro ni cobro por comprobaciones.
¿Funciona totalmente sin conexión?
La fuerza es local. La comprobación de filtraciones necesita red hacia la API de HIBP.
¿Y si HIBP cae o falla CORS?
Verá un error de conexión. Inténtelo más tarde; la estimación de fuerza puede seguir disponible.
¿Qué algoritmo de hash?
SHA-1 de la contraseña, como exige la API de rangos k-anonimato de HIBP.
¿Guardan historial de comprobaciones?
No. La contraseña escrita no se nos envía ni se guarda en nuestra base de datos.