Nasıl kullanılır?
- Şifreyi Şifre alanına yazın. Alan gizlidir; yazdığınızı okumak için Göster'e basın.
- Kontrol Et'e basın. Sayfa şifrenin özetini tarayıcınızda alır ve yalnızca özetin ilk beş karakterini gönderir.
- Sonuç'a bakın: N kez bulundu, şifrenin veri ihlallerinde o kadar kez göründüğünü; Bulunamadı ise yalnızca bu listede olmadığını söyler.
- Bulunduysa şifreyi kullandığınız her yerde değiştirin. Yeni bir şifrenin gücünü Şifre güç testi ile sınayın.
Ne gönderilir, ne gönderilmez?
Şifre tarayıcınızda SHA-1 ile özetlenir. Özet, 40 onaltılık karakterden oluşan sabit uzunlukta bir dizedir (örneğin password şifresi için 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8) ve özetten şifre geri elde edilemez. Sayfa, Pwned Passwords hizmetinin adres aralığına yapılan tek bir istekte özetin yalnızca ilk beş karakterini, örneğin 5BAA6'yı gönderir.
Hizmet, bu beş karakterle başlayan bilinen tüm ihlal özetlerini yanıtlar. Özetinizin kalanı, bu yanıtın içinde tarayıcınızda aranır. Aynı beş karakteri paylaşan pek çok şifre olduğundan hizmet hangi şifrenin denetlendiğini anlayamaz. Bu, hizmetin anlattığı k-anonimlik yöntemidir.
- Gönderilen: özetin beş karakteri ve Add-Padding üstbilgisi. Bu üstbilgi, yanıtın boş kayıtlarla doldurulmasını ister; böylece yanıtın boyutu kaç özetin eşleştiğini göstermez. Her web isteğinde olduğu gibi, hizmet bağlantınızın adresini görür.
- Gönderilmeyen: şifre, özetin tamamı, özetin kalanı ya da şifrenin uzunluğu. İstek çerez ve yönlendiren (referrer) bilgisi taşımaz.
- Saklanmayan: sayfa hiçbir şey tutmaz. Sayfayı yenilemek şifreyi ve sonucu unutturur.
Sonuç ne anlama gelir?
Bulundu, şifrenin geçmiş bir ihlalde sızmış verilerde yer aldığını gösterir; sayı, listede kaç kez geçtiğidir. Saldırganlar bu tür şifreleri hesaplara karşı dener; bu yüzden şifreyi kullandığınız her yerde değiştirin.
Bulunamadı, yalnızca şifrenin bu listede olmadığını gösterir. Şifrenin güçlü olduğunu göstermez ve listede yer almayan sızıntıları kapsamaz. Gücünü Şifre güç testi ile de sınayın.
Örnek: password
password şifresinin SHA-1 özeti 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8'dir. Sayfa yalnızca ilk beş karakteri, 5BAA6'yı gönderir ve geri kalan 35 karakteri, 1E4C9B93F3F0682250B6CF8331B7EE68FD8'i, yanıtta arar. Bu sonek listede bir sayıyla yer alıyorsa sonuç o sayıyla Bulundu olur; yer almıyorsa Bulunamadı.
Sık sorulan sorular
Şifrem hizmete gönderiliyor mu?
Hayır. Yalnızca SHA-1 özetinin ilk beş karakteri gönderilir. Hizmet bu karakterlerden şifreyi çıkaramaz; özetin kalanı tarayıcınızda karşılaştırılır.
Hizmet neden pek çok özet geri gönderiyor?
Aynı beş karakterle başlayan bilinen tüm ihlal özetlerini döndürür; bu yüzden hangisini denetlediğinizi anlayamaz. Bu k-anonimlik yöntemidir ve kontrolün şifreyi ele vermeden çalışmasını sağlar.
Sonuç Bulundu çıkarsa ne yapmalıyım?
Şifreyi ele geçirilmiş sayın. Kullandığınız her sitede değiştirin ve bir daha kullanmayın. Site destekliyorsa iki adımlı doğrulamayı açın.
Bulunamadı sonucu şifrenin güvenli olduğu anlamına mı gelir?
Hayır. Liste yalnızca kapsadığı ihlallerde görülmüş şifreleri içerir; zayıf bir şifre de listede olmayabilir. Kalıp kısa ya da yaygınsa sızmadan önce bile zayıftır; gücünü de sınayın.
Sayfa yazdığım şifreyi saklar ya da kaydeder mi?
Hayır. Şifre, sayfa açıkken alanda ve sayfanın belleğinde kalır. Tarayıcıda hiçbir şey saklanmaz, adrese de yazılmaz; sayfa başka bir istek yapmaz.
Kontrol hangi hizmeti kullanıyor?
Have I Been Pwned'in Pwned Passwords aralık hizmetini; belgeleri haveibeenpwned.com adresinde. Sayfa bu adrese doğrudan tarayıcınızdan istek yapar.
Kaynaklar
- Have I Been Pwned: Pwned Passwords API (v3)
- NIST SP 800-63B: şifreleri ele geçirilmiş değer listeleriyle karşılaştırma
Rakamlar ve metin en son 10 Kasım 2026 Salı tarihinde kontrol edildi.