Comprobador de contraseñas filtradas
Averigua si una contraseña está en una lista pública de contraseñas expuestas en filtraciones de datos. La contraseña se convierte en hash en tu navegador y solo se envía un prefijo de 5 caracteres del hash, así que ni la contraseña ni su hash completo salen nunca de tu dispositivo.
Última actualización:
Privado por diseño: tu contraseña se convierte en hash SHA-1 en tu navegador. Solo se envían los 5 primeros caracteres del hash; la coincidencia se busca en tu dispositivo.
¿Qué se envía exactamente? (detalles del k-anonimato)
- Hash SHA-1 de tu contraseña
- —
- Enviado a la API (prefijo)
- —
- Guardado en tu navegador (sufijo)
- —
- Solicitud
- —
- Hashes devueltos para ese prefijo
- —
Cómo usar Comprobador de contraseñas filtradas
- Escribe o pega la contraseña que quieres comprobar. Usa Mostrar para verificar lo que escribiste.
- Pulsa Comprobar contraseña. Tu navegador calcula el hash SHA-1 localmente.
- Solo se envían los 5 primeros caracteres del hash; el servicio devuelve todos los sufijos de hash filtrados con ese prefijo.
- Lee el resultado: un recuento de filtraciones significa que la contraseña está quemada y debes reemplazarla en todas partes.
- Abre el panel de detalles para ver exactamente qué se envió.
Cómo funciona la comprobación
- Tu navegador calcula el hash SHA-1 de la contraseña, una cadena hexadecimal de 40 caracteres. Para la palabra
passwordes5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. - Solo se envían los 5 primeros caracteres (
5BAA6):GET https://api.pwnedpasswords.com/range/5BAA6. - El servicio devuelve todos los sufijos de hash filtrados que empiezan con ese prefijo, cada uno con un recuento, normalmente varios cientos de líneas como
1E4C9B93F3F0682250B6CF8331B7EE68FD8:…. - Tu navegador busca los 35 caracteres restantes en esa lista. Una coincidencia significa que la contraseña ha sido expuesta; su recuento indica con qué frecuencia.
Como el servidor solo ve un prefijo de 5 caracteres compartido por muchas contraseñas no relacionadas, no puede saber lo que escribiste. Este modelo de privacidad se llama k-anonimato.
Qué hacer si una contraseña está filtrada
| Situación | Qué hacer |
|---|---|
| La usas en alguna cuenta | Cámbiala ya, empezando por el correo, el banco y las cuentas que pueden restablecer otras. |
| La reutilizaste en varios sitios | Usa una contraseña única para cada sitio; los atacantes prueban las contraseñas filtradas en todas partes. |
| Estás eligiendo una contraseña nueva | Usa un gestor de contraseñas o una frase de 4-6 palabras aleatorias y luego compruébala aquí. |
| Una cuenta importante lo admite | Activa la autenticación en dos pasos para que la contraseña sola no sea suficiente. |
Consejos para contraseñas que sigan siendo seguras
- La longitud gana a la complejidad: una frase de contraseña de 16 caracteres es mucho más difícil de adivinar que una mezcla de símbolos de 8 caracteres.
- Evita nombres, fechas, patrones de teclado y sustituciones comunes como
P@ssw0rd; están en todas las listas de adivinación. - Nunca reutilices contraseñas. Así, una filtración en un sitio no podrá desbloquear tus otras cuentas.
- Los desarrolladores pueden usar la misma API de rangos en el registro para rechazar contraseñas filtradas, como recomienda NIST SP 800-63B.
Datos de filtraciones: Pwned Passwords de Have I Been Pwned, con licencia Creative Commons Attribution 4.0.
Preguntas frecuentes
¿Es seguro escribir mi contraseña aquí?
La contraseña nunca se envía. Tu navegador calcula su hash SHA-1 y envía solo los 5 primeros caracteres hexadecimales. Cientos de hashes filtrados distintos comparten ese prefijo, y la comparación con la lista devuelta se hace en tu dispositivo, así que el servicio no puede saber qué contraseña comprobaste, si es que comprobaste alguna.
¿Qué es el k-anonimato?
Es una técnica en la que una consulta se mezcla con muchas otras que parecen iguales. Aquí, un prefijo de 5 caracteres coincide con alrededor de un millón de valores de hash posibles (16^5 = 1,048,576 prefijos dividen toda la lista), así que el servidor solo conoce un grupo, nunca la contraseña ni su hash completo.
¿Qué significa el número de filtraciones?
Es cuántas veces apareció esa contraseña exacta en los datos de filtraciones recopilados en la lista Pwned Passwords. Incluso un recuento de 1 significa que los atacantes la conocen, y prueban esas listas primero en ataques de relleno de credenciales y de adivinación.
Mi contraseña no se encontró. ¿Es segura?
No necesariamente. No estar en la lista solo significa que no se ha visto en las filtraciones recopiladas. Una contraseña corta o predecible puede adivinarse rápido. Usa 12 o más caracteres, o una frase de contraseña de varias palabras aleatorias, y nunca la reutilices.
¿Esto comprueba mi correo electrónico o mis cuentas?
No. Solo comprueba una contraseña, no si una cuenta concreta fue vulnerada. Un recuento de filtraciones te indica que la contraseña no es segura para ninguna cuenta.
¿De dónde vienen los datos?
Los resultados provienen de la API gratuita de rangos de Pwned Passwords de Have I Been Pwned (datos con licencia CC BY 4.0). La comprobación necesita conexión a internet; esta página nunca guarda lo que escribes.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.