Cómo se usa
- Escriba la contraseña en Contraseña. Está oculta; pulse Mostrar para leer lo que escribió.
- Pulse Comprobar. La página convierte la contraseña en un hash en su navegador y envía solo los primeros cinco caracteres del hash.
- Lea el Resultado: Aparece con un recuento significa que la contraseña figura en datos de filtraciones; No aparece significa que no está en esta lista.
- Si aparece, cámbiela en todos los sitios donde la usó. Para probar una nueva, use el Comprobador de fortaleza de contraseñas.
Qué se envía y qué no
La contraseña se convierte en un hash SHA-1 en su navegador. Un hash es una cadena fija de 40 caracteres hexadecimales, como 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 para la contraseña password, y no puede volver a convertirse en la contraseña. La página envía solo los cinco primeros caracteres del hash, por ejemplo 5BAA6, en una única petición a la dirección de rango del servicio Pwned Passwords.
El servicio responde con todos los hash filtrados conocidos que empiezan por esos cinco caracteres. El resto de su hash se busca entonces en esa respuesta, en su navegador. Muchas contraseñas distintas comparten los mismos cinco caracteres, así que el servicio no puede saber cuál se comprobó. Es la técnica de k-anonimato que describe el servicio.
- Se envía: los cinco caracteres del hash, y la cabecera Add-Padding, que pide al servicio rellenar su respuesta con entradas vacías para que el tamaño de la respuesta no revele cuántos hash coincidieron. Como en cualquier petición web, el servicio ve la dirección de su conexión.
- No se envía: la contraseña, el hash completo, el resto del hash ni la longitud de la contraseña. La petición no lleva cookies ni referente.
- No se guarda: la página no guarda nada. Al recargarla se olvidan la contraseña y el resultado.
Qué significa el resultado
Aparece significa que la contraseña figura en datos filtrados en una brecha pasada. El número es cuántas veces aparece en la lista. Los atacantes prueban esas contraseñas en las cuentas, así que cámbiela en todos los lugares donde la usó.
No aparece significa solo que la contraseña no está en esta lista. No demuestra que sea fuerte, y no cubre las filtraciones que la lista no tiene. Compruebe también su fortaleza con el Comprobador de fortaleza de contraseñas.
Ejemplo resuelto: password
El hash SHA-1 de password es 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. La página envía solo los cinco primeros caracteres, 5BAA6, y busca los otros 35, 1E4C9B93F3F0682250B6CF8331B7EE68FD8, en la respuesta. Si ese sufijo aparece con un recuento mayor que 0, el resultado es Aparece con ese recuento; si no aparece, el resultado es No aparece.
Preguntas frecuentes
¿Se envía mi contraseña al servicio?
No. Solo se envían los cinco primeros caracteres de su hash SHA-1. El servicio no puede deducir la contraseña a partir de ellos, y el resto del hash se compara en su navegador.
¿Por qué el servicio devuelve tantos hash?
Devuelve todos los hash filtrados que empiezan por los mismos cinco caracteres, así que no puede saber cuál estaba comprobando. Es la técnica de k-anonimato, y permite hacer la comprobación sin revelar la contraseña.
¿Qué debo hacer si el resultado es Aparece?
Dé la contraseña por expuesta. Cámbiela en todos los sitios donde la usó y no la reutilice. Active la verificación en dos pasos en los sitios que la ofrezcan.
¿Significa que la contraseña es segura si no aparece?
No. La lista solo tiene contraseñas vistas en las filtraciones que cubre, así que una contraseña débil puede no aparecer en ella. Compruebe también su fortaleza, porque un patrón corto o común es débil aunque nunca se haya filtrado.
¿Guarda la página lo que escribo?
No. La contraseña se queda en el campo y en la memoria de la página mientras esta está abierta. No se guarda en el navegador ni se escribe en la dirección, y la página no hace ninguna otra petición.
¿Qué servicio usa la comprobación?
El servicio de rangos de Pwned Passwords, de Have I Been Pwned, documentado en haveibeenpwned.com. La página llama directamente a su dirección de rango desde su navegador.
Fuentes
- Have I Been Pwned: API de Pwned Passwords (v3) (en inglés)
- NIST SP 800-63B: comparar contraseñas con listas de valores comprometidos (en inglés)
Cifras y texto revisados por última vez el martes, 10 de noviembre de 2026.