Como usar
- Digite a senha em Senha. Ela fica oculta; clique em Mostrar para ler o que você digitou.
- Clique em Verificar. A página converte a senha em hash no seu navegador e envia só os primeiros cinco caracteres do hash.
- Leia o Resultado: Encontrada com um número significa que a senha aparece em dados de vazamentos; Não encontrada significa que ela não está nesta lista.
- Se ela foi encontrada, troque-a em todos os lugares onde a usou. Para testar uma nova, use o Verificador de força de senha.
O que é enviado e o que não é
A senha é convertida em hash com SHA-1 no seu navegador. Um hash é uma sequência fixa de 40 caracteres hexadecimais, como 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 para a senha password, e não pode ser transformado de volta na senha. A página envia somente os primeiros cinco caracteres do hash, por exemplo 5BAA6, em uma única requisição ao endereço de faixa do serviço Pwned Passwords.
O serviço responde com todos os hashes de senhas vazadas conhecidos que começam com esses cinco caracteres. O resto do seu hash é procurado nessa resposta, no seu navegador. Muitas senhas diferentes têm os mesmos cinco caracteres, então o serviço não consegue saber qual senha foi verificada. Este é o método de k-anonimato que o serviço descreve.
- Enviado: os cinco caracteres do hash, e o cabeçalho Add-Padding, que pede ao serviço para completar a resposta com entradas vazias, para que o tamanho dela não revele quantos hashes bateram. Como em qualquer requisição web, o serviço vê o endereço da sua conexão.
- Não enviado: a senha, o hash completo, o resto do hash ou o tamanho da senha. A requisição não leva cookies nem referrer.
- Não guardado: a página não guarda nada. Ao recarregá-la, a senha e o resultado são esquecidos.
O que o resultado significa
Encontrada significa que a senha aparece em dados que vazaram em um incidente anterior. O número é quantas vezes ela aparece na lista. Atacantes testam essas senhas em contas, então troque-a em todos os lugares onde a usou.
Não encontrada significa apenas que a senha não está nesta lista. Isso não mostra que a senha é forte, e não cobre vazamentos que a lista não tem. Verifique a força dela também, com o Verificador de força de senha.
Exemplo resolvido: password
O hash SHA-1 de password é 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. A página envia só os primeiros cinco caracteres, 5BAA6, e procura os outros 35 caracteres, 1E4C9B93F3F0682250B6CF8331B7EE68FD8, na resposta. Se esse sufixo aparece na lista com contagem acima de 0, o resultado é Encontrada com essa contagem; se não aparece, o resultado é Não encontrada.
Perguntas frequentes
Minha senha é enviada para o serviço?
Não. Só os primeiros cinco caracteres do hash SHA-1 dela são enviados. O serviço não consegue descobrir a senha a partir deles, e o resto do hash é comparado no seu navegador.
Por que o serviço devolve tantos hashes?
Ele devolve todos os hashes vazados que começam com os mesmos cinco caracteres, então não consegue saber qual deles você estava verificando. Este é o método de k-anonimato, que permite fazer a verificação sem revelar a senha.
O que devo fazer quando o resultado é Encontrada?
Considere a senha exposta. Troque-a em todos os sites onde a usou e não a reutilize. Ative a verificação em duas etapas nos sites que a oferecem.
Não encontrada significa que a senha é segura?
Não. A lista tem só senhas vistas nos vazamentos que ela cobre, então uma senha fraca pode mesmo assim não estar nela. Verifique também a força, porque um padrão curto ou comum é fraco mesmo antes de vazar.
A página guarda ou registra o que eu digito?
Não. A senha fica no campo e na memória da página enquanto ela estiver aberta. Nada é guardado no navegador nem escrito no endereço, e a página não faz nenhuma outra requisição.
Qual serviço a verificação usa?
O serviço de faixas Pwned Passwords do Have I Been Pwned, documentado em haveibeenpwned.com. A página chama o endereço de faixa diretamente do seu navegador.
Fontes
- Have I Been Pwned (em inglês): Pwned Passwords API (v3)
- NIST SP 800-63B (em inglês): compare passwords with lists of compromised values
Números e texto verificados pela última vez em terça-feira, 10 de novembro de 2026.