Perché usare passcheck
- HIBP e k-anonimato. Lo SHA-1 è calcolato nel browser; all’API va solo un breve prefisso dell’hash.
- Entropia locale. Stima della forza da lunghezza e classi di caratteri — sul tuo dispositivo.
- Nessuna password sul nostro backend. Non riceviamo né memorizziamo ciò che digiti.
- Risultati chiari. Trovata / non trovata; se trovata, conteggio HIBP approssimativo.
- Limiti onesti. Nessuna promessa di sicurezza assoluta — corpus HIBP più euristica.
- Gratis e multilingue. Senza account; UI e SEO per ogni locale.
- Con generatore. Creane una nuova su passgen.dmosk.net.
Come controllare una password
- Inserisci la password (opzionalmente mostra o nascondi).
- Premi Controlla: il browser calcola lo SHA-1 e interroga HIBP per prefisso.
- Leggi lo stato della violazione e la stima locale della forza.
- Se trovata, cambiala dove è ancora in uso; creane una nuova con passgen.
Igiene delle password e HIBP
Have I Been Pwned raccoglie hash di password da violazioni note. Una corrispondenza significa che la stringa è già apparsa in dati trapelati — smetti di usarla. Il punteggio di forza è euristico, non sostituisce una password casuale unica.
Consigli:
- Usa una password unica per ogni servizio.
- Conservale in un gestore, non in note o chat.
- Lunghezza e varietà battono le parole “furbe” del dizionario.
- Attiva l’autenticazione a due fattori dove puoi.
- Se HIBP la trova, cambiala ovunque sia ancora valida.
- “Non trovata” in HIBP non significa “sicura per sempre”.
- Per una nuova usa passgen.
- Non digitare password su siti dubbi — questo strumento non le invia al nostro server.
A cosa serve
- vedere in fretta se una password compare in violazioni note;
- avere una lettura approssimativa di entropia prima di ruotare;
- spiegare i rischi di password deboli o riutilizzate;
- proseguire con il generatore su passgen;
- senza caricare la password sul nostro server.
Domande frequenti
Cos’è il k-anonimato con HIBP?
Il browser calcola lo SHA-1 e invia solo i primi caratteri dell’hash. HIBP restituisce i suffissi di quel prefisso; la corrispondenza completa è locale — la password intera non va all’API.
La password viene caricata da noi?
No. Non la riceviamo né la memorizziamo. Solo un breve prefisso SHA-1 va all’API HIBP.
Cos’è Have I Been Pwned?
Progetto di Troy Hunt che aggrega hash da violazioni pubbliche. passcheck usa la sua API range.
Cosa significa il conteggio “vista circa N volte”?
Numero approssimativo di apparizioni nei dati HIBP. Più alto è, più è circolata — cambiala.
Cosa significa la stima di entropia?
Euristica approssimativa: lunghezza × log2 di un alfabeto stimato dalle classi. Non è un audit di laboratorio.
“Non trovata” implica sicurezza assoluta?
No. HIBP è incompleto; la password può essere debole o trapelata fuori da quel corpus.
Dove ottenere una nuova password?
Apri passgen.dmosk.net — creazione nel browser.
È gratis?
Sì — senza registrazione e senza costi per i controlli.
Funziona del tutto offline?
La stima della forza è locale. Il controllo violazioni richiede rete verso l’API HIBP.
Se HIBP è giù o CORS fallisce?
Vedrai un errore di connessione. Riprova più tardi; la stima della forza può restare disponibile.
Quale algoritmo di hash?
SHA-1 della password, come richiesto dall’API range k-anonimato di HIBP.
Conservate la cronologia dei controlli?
No. La password digitata non ci viene inviata e non è salvata nel nostro DB.