Porquê usar o passcheck
- HIBP e k-anonimato. O SHA-1 é calculado no navegador; só um prefixo curto do hash vai à API.
- Entropia local. Estimativa de força por comprimento e classes de caracteres — no seu dispositivo.
- Sem palavra-passe no nosso backend. Não recebemos nem guardamos o que escreve.
- Resultados claros. Encontrada / não encontrada; se aparecer, contagem aproximada HIBP.
- Limites honestos. Sem promessa de segurança absoluta — corpus HIBP mais heurística.
- Grátis e multilingue. Sem conta; UI e SEO em cada idioma do conjunto.
- Com gerador. Crie uma nova em passgen.dmosk.net.
Como verificar uma palavra-passe
- Introduza a palavra-passe (opcionalmente mostre ou oculte).
- Prima Verificar: o navegador calcula SHA-1 e consulta o HIBP pelo prefixo.
- Leia o estado da fuga e a estimativa local (bits, comprimento, alfabeto).
- Se aparecer, altere onde ainda for usada; crie uma nova com o passgen.
Higiene de palavras-passe e HIBP
O Have I Been Pwned reúne hashes de fugas conhecidas. Uma correspondência significa que a cadeia já apareceu em dados vazados — deixe de a usar. A força é heurística, não substitui uma palavra-passe aleatória única.
Dicas:
- Use uma palavra-passe única em cada serviço.
- Guarde-as num gestor, não em notas ou chats.
- Comprimento e variedade batem palavras “espertas” do dicionário.
- Ative a autenticação de dois fatores sempre que puder.
- Se o HIBP a encontrar, mude-a onde ainda funcionar.
- “Não encontrada” no HIBP não significa “segura para sempre”.
- Para uma nova, use o passgen.
- Não escreva palavras-passe em sites duvidosos — esta ferramenta não as envia ao nosso servidor.
Para que serve
- ver depressa se uma palavra-passe aparece em fugas conhecidas;
- obter uma leitura aproximada de entropia antes de rodar credenciais;
- explicar o risco de reutilizar ou usar chaves fracas;
- seguir com o gerador no passgen;
- fazê-lo sem enviar a palavra-passe ao nosso servidor.
Perguntas frequentes
O que é k-anonimato com HIBP?
O navegador calcula o SHA-1 e envia só os primeiros caracteres do hash. O HIBP devolve sufixos desse prefixo; a correspondência completa é local — a palavra-passe completa não vai à API.
A palavra-passe é enviada para nós?
Não. Não a recebemos nem a guardamos. Só um prefixo SHA-1 curto vai à API HIBP.
O que é Have I Been Pwned?
Projeto de Troy Hunt que agrega hashes de fugas públicas. O passcheck usa a API de intervalos para verificar sem enviar a palavra-passe completa.
O que significa a contagem “vista N vezes”?
Número aproximado de aparições nos dados HIBP. Quanto maior, mais circulou — altere-a.
O que significa a estimativa de entropia?
Heurística aproximada: comprimento × log2 de um alfabeto estimado por classes. Não é auditoria de laboratório.
“Não encontrada” implica segurança absoluta?
Não. O HIBP é incompleto; a palavra-passe pode ser fraca ou ter vazado fora desse corpus.
Onde obter uma nova?
Abra passgen.dmosk.net — criação no navegador.
É gratuito?
Sim — sem registo e sem taxa por verificações.
Funciona totalmente offline?
A força é local. A verificação de fugas precisa de rede até à API HIBP.
E se o HIBP falhar ou o CORS bloquear?
Verá um erro de ligação. Tente mais tarde; a estimativa de força pode continuar disponível.
Que algoritmo de hash?
SHA-1 da palavra-passe, como exige a API de intervalos k-anonimato do HIBP.
Guardam histórico de verificações?
Não. A palavra-passe escrita não nos é enviada nem guardada na nossa base de dados.