使い方
- パスワード欄にパスワードを入力します。文字は隠れています。入力内容を読むには、表示を押します。
- 確認を押します。ページはパスワードをブラウザでハッシュ化し、ハッシュの先頭5文字だけを送ります。
- 結果を読みます。回数が付いた「見つかりました」は、パスワードが漏えいデータに含まれていることを示します。「見つかりませんでした」は、この一覧にはないことを示します。
- 見つかった場合は、使ったすべての場所で変更してください。新しいパスワードを試すには、パスワード強度チェッカーを使ってください。
送信されるものと、されないもの
パスワードは、お使いのブラウザで SHA-1によりハッシュ化されます。ハッシュは40文字の16進数の固定長の文字列で、例えばパスワード password では5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8になります。元のパスワードに戻すことはできません。ページが送るのは 先頭5文字だけ、例えば 5BAA6 です。Pwned Passwords サービスの範囲アドレスへの、1回のリクエストで送られます。
サービスは、その5文字で始まる既知の漏えいハッシュをすべて返します。残りのハッシュは、お使いのブラウザがその返答の中から探します。同じ5文字を持つパスワードは多いため、サービスは、どのパスワードを確認したのかを区別できません。これは、サービスが説明している k-anonymity（k匿名性）の方式です。
- 送信されるもの： ハッシュの5文字と、ヘッダー Add-Padding です。Add-Padding は、返答に空の項目を詰めるようサービスに求めるもので、一致したハッシュの数を返答の大きさから分からないようにします。ほかの Web リクエストと同じく、サービスはお使いの接続元のアドレスを見ることができます。
- 送信されないもの： パスワード、ハッシュ全体、ハッシュの残りの部分、パスワードの長さです。リクエストには Cookie もリファラーも含まれません。
- 保存されないもの： ページは何も保存しません。再読み込みすると、パスワードも結果も消えます。
結果の意味
見つかりましたは、パスワードが過去の漏えいで流出したデータに含まれていることを示します。回数は、一覧に何回現れるかです。攻撃者は、こうしたパスワードをアカウントに対して試すため、使ったすべての場所で変更してください。
見つかりませんでしたは、このパスワードがこの一覧にないことを示すだけです。パスワードが強いことや、一覧にない漏えいを対象にしていることを示すものではありません。パスワード強度チェッカーで、強度も確かめてください。
例：password
パスワード password の SHA-1ハッシュは5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8です。ページが送るのは先頭5文字、5BAA6 だけで、残りの35文字、1E4C9B93F3F0682250B6CF8331B7EE68FD8は、返答の中から探します。その末尾が0より大きい回数で挙げられていれば、結果は回数付きの見つかりましたになり、挙げられていなければ見つかりませんでしたになります。
よくある質問
パスワードはサービスに送信されますか？
いいえ。送信されるのは、SHA-1ハッシュの先頭5文字だけです。サービスはその5文字からパスワードを割り出すことができず、ハッシュの残りの部分は、お使いのブラウザの中で照合されます。
サービスが多くのハッシュを返すのはなぜですか？
同じ5文字で始まる既知の漏えいハッシュを、すべて返すからです。そのため、どのパスワードを確認したのかは区別できません。これは k-anonymity の方式で、パスワードを明かさずに確認できる仕組みです。
結果が「見つかりました」だった場合、どうすればよいですか？
そのパスワードは漏えいしたものとして扱ってください。使ったすべてのサイトで変更し、使い回さないようにしてください。対応しているサイトでは、2段階認証も設定してください。
「見つかりませんでした」なら、そのパスワードは安全ですか？
いいえ。この一覧には、対象とする漏えいで見つかったパスワードしか含まれないため、弱いパスワードでも一覧にないことがあります。短いものや、よくあるパターンのものは、漏えいする前から弱いため、強度も確認してください。
このページは、入力した内容を保存したり記録したりしますか？
いいえ。パスワードは、ページを開いている間だけ入力欄とページのメモリに残ります。ブラウザには保存されず、アドレスにも書き込まれず、ページはほかのリクエストも送りません。
この確認には、どのサービスを使っていますか？
Have I Been Pwned の Pwned Passwords の範囲サービスで、haveibeenpwned.com に説明があります。このページは、お使いのブラウザから、その範囲アドレスを直接呼び出します。
出典
数値と文章の最終確認日：2026年11月10日火曜日。