Зачем нужен passcheck
- HIBP и k-anonymity. SHA-1 считается в браузере; в API уходит только короткий префикс хеша.
- Локальная энтропия. Оценка силы по длине и классам символов — на устройстве.
- Пароль не на наш бэкенд. Мы не принимаем и не храним введённый пароль.
- Понятный результат. Найден / не найден в утечках; при совпадении — ориентировочный счётчик HIBP.
- Честные ограничения. Нет обещаний «абсолютной безопасности» — только корпус HIBP и эвристика.
- Бесплатно и на многих языках. Без аккаунта; UI и SEO на каждую локаль набора.
- Связка с генератором. Новый пароль — на passgen.dmosk.net.
Как проверить пароль
- Введите пароль в поле (при желании покажите или скройте символы).
- Нажмите «Проверить»: браузер посчитает SHA-1 и запросит HIBP по префиксу хеша.
- Смотрите статус утечки и локальную оценку силы (биты, длина, алфавит).
- При находке смените пароль там, где он ещё используется; новый можно взять в passgen.
Гигиена паролей и HIBP
Have I Been Pwned собирает хэши паролей из известных утечек. Совпадение значит, что такая строка уже встречалась в чужих данных — её лучше не использовать. Оценка силы — эвристика, не замена уникальному случайному паролю.
Рекомендации:
- Используйте уникальный пароль для каждого сервиса.
- Храните пароли в менеджере, а не в заметках и чатах.
- Длина и разнообразие символов важнее «сложных» слов из словаря.
- Включайте двухфакторную аутентификацию, где доступна.
- Если пароль найден в HIBP — смените его везде, где он ещё действует.
- «Не найден» в HIBP не значит «безопасен навсегда».
- Для нового пароля удобен passgen.
- Не вводите пароли на сомнительных сайтах — этот сервис не просит отправки на наш сервер.
Для чего нужен сервис
- быстро проверить, не светился ли пароль в известных утечках;
- получить ориентир по энтропии перед сменой пароля;
- объяснить команде, почему слабый или повторно используемый пароль рискован;
- дополнить проверку генератором на passgen;
- сделать это без отправки пароля на наш сервер.
Частые вопросы
Что такое k-anonymity в HIBP?
Браузер считает SHA-1 пароля и отправляет только первые символы хеша. HIBP возвращает список суффиксов для этого префикса; полное совпадение ищется локально — полный пароль на API не уходит.
Загружается ли пароль на наш сервер?
Нет. Мы не принимаем и не храним пароль. Наружу (на API HIBP) уходит только короткий префикс SHA-1.
Что такое Have I Been Pwned?
Сервис Troy Hunt с корпусом хэшей паролей из публичных утечек. passcheck использует его range API для проверки без передачи полного пароля.
Что значит счётчик «встречался N раз»?
Ориентировочное число появлений этой строки в данных HIBP. Чем больше, тем шире она уже «гуляла» — такой пароль лучше сменить.
Что показывает оценка энтропии?
Грубая эвристика: длина × log2 оценочного алфавита по классам символов. Это не лабораторный аудит и не гарантия стойкости.
Гарантирует ли «не найден» абсолютную безопасность?
Нет. Корпус HIBP неполон; пароль может быть слабым или уже утёкшим вне HIBP.
Где взять новый пароль?
Откройте генератор passgen.dmosk.net — пароль создаётся в браузере.
Сервис бесплатный?
Да — без регистрации и платы за проверки.
Работает ли полностью офлайн?
Оценка силы — локально. Проверка утечек нужна сеть до API HIBP; без неё статус утечки недоступен.
Что если HIBP недоступен или блокирует CORS?
Вы увидите сообщение об ошибке связи. Попробуйте позже; оценка силы на странице при этом может остаться доступной.
Какой алгоритм хеша?
Для range API HIBP используется SHA-1 пароля, как требует их протокол k-anonymity.
Сохраняете ли вы историю проверок?
Нет. Введённый пароль не уходит к нам и не пишется в нашу БД.