Как пользоваться
- Введите пароль в поле Пароль. Он скрыт; нажмите Показать, чтобы прочитать, что вы ввели.
- Нажмите Проверить. Страница вычисляет хеш пароля в вашем браузере и отправляет только первые пять символов хеша.
- Прочитайте Результат: Найдено с числом означает, что пароль есть в данных утечек; Не найдено означает, что его нет в этом списке.
- Если пароль найден, смените его везде, где использовали. Чтобы проверить новый, воспользуйтесь Проверкой надёжности пароля.
Что отправляется, а что нет
Пароль хешируется алгоритмом SHA-1 в вашем браузере. Хеш — это строка из 40 шестнадцатеричных символов, например 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 для пароля password, и по ней пароль нельзя восстановить. Страница отправляет только первые пять символов хеша, например 5BAA6, одним запросом на адрес диапазона службы Pwned Passwords.
Служба отвечает списком всех известных хешей из утечек, которые начинаются с этих пяти символов. Остаток вашего хеша затем ищется в этом ответе уже в вашем браузере. Многие разные пароли имеют одинаковые первые пять символов, поэтому служба не может определить, какой пароль проверялся. Так работает метод k-анонимности, который описывает сама служба.
- Отправляется: пять символов хеша и заголовок Add-Padding, который просит службу дополнить ответ пустыми записями, чтобы размер ответа не показывал, сколько хешей совпало. Как и при любом веб-запросе, служба видит адрес вашего подключения.
- Не отправляется: пароль, полный хеш, остаток хеша или длина пароля. Запрос не несёт cookie и не содержит referrer.
- Не сохраняется: страница ничего не хранит. Перезагрузка страницы забывает пароль и результат.
Что означает результат
Найдено означает, что пароль есть в данных, которые утекли при прошлой утечке. Число показывает, сколько раз он встречается в списке. Злоумышленники пробуют такие пароли на аккаунтах, поэтому смените его везде, где использовали.
Не найдено означает только то, что пароля нет в этом списке. Это не показывает, что пароль надёжен, и не охватывает утечки, которых в списке нет. Проверьте и его надёжность с помощью Проверки надёжности пароля.
Пример: password
SHA-1 хеш пароля password — 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. Страница отправляет только первые пять символов, 5BAA6, и ищет остальные 35 символов, 1E4C9B93F3F0682250B6CF8331B7EE68FD8, в ответе службы. Если этот хвост есть в списке с числом больше 0, результат — Найдено с этим числом; если его нет, результат — Не найдено.
Частые вопросы
Мой пароль отправляется в службу?
Нет. Отправляются только первые пять символов его хеша SHA-1. По ним служба не может восстановить пароль, а остаток хеша сравнивается уже в вашем браузере.
Почему служба присылает так много хешей?
Она возвращает все известные хеши из утечек, которые начинаются с тех же пяти символов, поэтому не может определить, какой из них вы проверяли. Это метод k-анонимности: проверка проходит без передачи пароля.
Что делать, если результат «Найдено»?
Считайте пароль скомпрометированным. Смените его на каждом сайте, где его использовали, и не используйте повторно. Включите двухфакторный вход там, где сайт его предлагает.
Значит ли «Не найдено», что пароль безопасен?
Нет. В списке только пароли, которые встречались в охваченных утечках, поэтому слабый пароль в нём может отсутствовать. Проверьте и его надёжность: короткий или распространённый шаблон слаб даже до того, как пароль утёк.
Сохраняет ли страница или записывает ли то, что я ввожу?
Нет. Пароль остаётся в поле и в памяти страницы, пока она открыта. Ничего не сохраняется в браузере и не записывается в адрес, а страница не делает других запросов.
Какую службу использует проверка?
Службу диапазонов Pwned Passwords проекта Have I Been Pwned, которая описана на сайте haveibeenpwned.com. Страница обращается к адресу диапазона напрямую из вашего браузера.
Источники
- Have I Been Pwned: Pwned Passwords API, версия 3 (на английском)
- NIST SP 800-63B: сравнение паролей со списками скомпрометированных значений (на английском)
Цифры и текст в последний раз проверены вторник, 10 ноября 2026 г..