Cara memakai
- Ketik kata sandi di Kata sandi. Kolom itu disembunyikan; tekan Tampilkan untuk membaca apa yang Anda ketik.
- Tekan Periksa. Halaman men-hash kata sandi di peramban Anda dan hanya mengirim lima karakter pertama dari hash-nya.
- Baca Hasil: Ditemukan dengan jumlahnya berarti kata sandi muncul dalam data kebocoran; Tidak ditemukan berarti kata sandi tidak ada dalam daftar ini.
- Bila ditemukan, ganti di setiap tempat Anda memakainya. Untuk menguji kata sandi baru, gunakan Pemeriksa kekuatan kata sandi.
Apa yang dikirim dan apa yang tidak
Kata sandi di-hash dengan SHA-1 di peramban Anda. Hash adalah string tetap sepanjang 40 karakter heksadesimal, seperti 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 untuk kata sandi password, dan hash itu tidak bisa diubah kembali menjadi kata sandi. Halaman hanya mengirim lima karakter pertama dari hash, misalnya 5BAA6, dalam satu permintaan ke alamat rentang layanan Pwned Passwords.
Layanan menjawab dengan setiap hash kebocoran yang diketahui dan dimulai dengan lima karakter itu. Sisa hash Anda kemudian dicari di dalam jawaban itu, di peramban Anda. Banyak kata sandi berbeda berbagi lima karakter yang sama, sehingga layanan tidak bisa tahu kata sandi mana yang diperiksa. Ini adalah metode k-anonymity yang dijelaskan layanan tersebut.
- Dikirim: lima karakter dari hash, dan header Add-Padding, yang meminta layanan mengisi jawabannya dengan entri kosong agar ukuran jawaban tidak menunjukkan berapa hash yang cocok. Seperti permintaan web lainnya, layanan melihat alamat koneksi Anda.
- Tidak dikirim: kata sandi, hash lengkap, sisa hash, atau panjang kata sandi. Permintaan itu tidak membawa cookie dan tidak membawa referrer.
- Tidak disimpan: halaman tidak menyimpan apa pun. Memuat ulang halaman melupakan kata sandi dan hasilnya.
Arti hasilnya
Ditemukan berarti kata sandi muncul dalam data yang bocor pada pelanggaran di masa lalu. Angkanya adalah berapa kali kata sandi itu muncul dalam daftar. Penyerang mencoba kata sandi seperti itu pada akun, jadi ganti di setiap tempat Anda memakainya.
Tidak ditemukan hanya berarti kata sandi tidak ada dalam daftar ini. Itu tidak menunjukkan bahwa kata sandi kuat, dan tidak mencakup kebocoran yang tidak ada dalam daftar. Periksa kekuatannya juga, dengan Pemeriksa kekuatan kata sandi.
Contoh: password
Hash SHA-1 dari password adalah 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. Halaman hanya mengirim lima karakter pertama, 5BAA6, dan mencari 35 karakter lainnya, 1E4C9B93F3F0682250B6CF8331B7EE68FD8, dalam jawaban. Bila akhiran itu tercantum dengan jumlah di atas 0, hasilnya Ditemukan dengan jumlah itu; bila tidak tercantum, hasilnya Tidak ditemukan.
Pertanyaan yang sering diajukan
Apakah kata sandi saya dikirim ke layanan?
Tidak. Hanya lima karakter pertama dari hash SHA-1-nya yang dikirim. Layanan tidak bisa menghitung kata sandinya dari situ, dan sisa hash dibandingkan di peramban Anda.
Mengapa layanan mengirim balik banyak hash?
Layanan mengembalikan setiap hash kebocoran yang dimulai dengan lima karakter yang sama, sehingga ia tidak bisa tahu hash mana yang sedang diperiksa. Ini metode k-anonymity, dan membuat pemeriksaan berjalan tanpa membocorkan kata sandi.
Apa yang harus saya lakukan ketika hasilnya Ditemukan?
Anggap kata sandi itu sudah terpapar. Ganti di setiap situs tempat Anda memakainya, dan jangan dipakai ulang. Aktifkan masuk dua faktor bila situsnya menyediakannya.
Apakah Tidak ditemukan berarti kata sandinya aman?
Tidak. Daftar hanya memuat kata sandi yang pernah terlihat dalam kebocoran yang dicakupnya, jadi kata sandi yang lemah bisa saja tidak ada di dalamnya. Periksa juga kekuatannya, karena pola yang pendek atau umum sudah lemah bahkan sebelum bocor.
Apakah halaman menyimpan atau mencatat apa yang saya ketik?
Tidak. Kata sandi tetap berada di kolom dan di memori halaman selama halaman terbuka. Tidak ada yang disimpan di peramban atau ditulis ke alamat, dan halaman tidak membuat permintaan lain.
Layanan mana yang dipakai pemeriksaan ini?
Layanan rentang Pwned Passwords dari Have I Been Pwned, yang didokumentasikan di haveibeenpwned.com. Halaman memanggil alamat rentangnya langsung dari peramban Anda.
Sumber
- Have I Been Pwned: API Pwned Passwords versi 3 (dalam bahasa Inggris)
- NIST SP 800-63B (dalam bahasa Inggris): membandingkan kata sandi dengan daftar nilai yang dikompromikan
Angka dan teks terakhir diperiksa pada Selasa, 10 November 2026.