Pemeriksa Kebocoran Password

Periksa apakah sebuah password pernah muncul dalam kebocoran data yang diketahui, tanpa pernah mengirimkan password itu sendiri ke mana pun. Browser Anda meng-hash password secara lokal dan hanya mengirim 5 karakter pertama dari hash tersebut ke database kebocoran publik — cukup untuk mencarinya di antara jutaan hash lain yang berbagi awalan yang sama, tetapi tidak pernah cukup untuk merekonstruksi password Anda.

Cara Menggunakan

Ketik atau tempel password yang ingin Anda periksa.
Opsional, klik "Show" untuk memverifikasi apa yang Anda ketik.
Klik "Check for breaches".
Hasil hijau berarti tidak ditemukan dalam database kebocoran; hasil merah menunjukkan berapa kali password itu pernah muncul.

Contoh

Input

password123

Output

⚠ Ditemukan dalam 2.643.916 kebocoran data yang diketahui

Password umum seperti ini muncul jutaan kali karena selalu berada di daftar tebakan pertama setiap penyerang, terlepas dari situs mana yang dibobol.

Apa Itu Alat Ini?

Alat ini memeriksa password terhadap database Pwned Passwords milik Have I Been Pwned, yang berisi ratusan juta password yang dikumpulkan dari kebocoran data nyata. Jika password Anda muncul, artinya password itu sudah ada dalam daftar penyerang — bukan berarti akun spesifik Anda dibobol, melainkan karena seseorang, di suatu tempat, menggunakan password yang sama dan bocor.

Pemeriksaan ini menggunakan teknik yang disebut k-anonymity, dirancang khusus agar pemeriksa password tidak pernah perlu melihat password lengkap. Browser Anda menghitung hash SHA-1 dari password secara lokal, lalu hanya mengirim 5 karakter pertama dari hash tersebut ke API. API mengembalikan setiap hash password bocor dalam database yang dimulai dengan 5 karakter yang sama — biasanya beberapa ratus — dan browser Anda memeriksa secara lokal apakah hash lengkap Anda ada di antaranya. Password lengkap dan hash lengkap tidak pernah meninggalkan perangkat Anda.

Bagaimana k-anonymity melindungi password Anda di sini

Pemeriksa kebocoran yang naif akan memerlukan password lengkap Anda (atau hash lengkapnya) untuk mencarinya — yang berarti mempercayakan server dengan tepat rahasia yang ingin Anda lindungi. Pendekatan k-anonymity menghindari hal ini: browser Anda meng-hash password dengan SHA-1, lalu hanya mengirim 5 karakter heksadesimal pertama dari hash 40 karakter itu ke API.

API merespons dengan setiap akhiran hash dalam database yang berbagi awalan 5 karakter tersebut — biasanya 300–800 di antaranya, bukan cuma milik Anda. Browser Anda kemudian memeriksa secara lokal apakah akhiran spesifik Anda ada di antaranya. Seseorang yang mengintip request jaringan hanya tahu bahwa sebuah password dengan awalan itu diperiksa, dari jutaan kemungkinan — jauh dari cukup untuk mengetahui yang mana.

Apa yang harus dilakukan dengan hasilnya

Ditemukan dengan jumlah tinggi: segera pensiunkan password ini di mana pun — password itu ada di daftar tebakan setiap penyerang.
Ditemukan dengan jumlah rendah: tetap pensiunkan. Bahkan satu kebocoran sebelumnya berarti sudah terkompromi, terlepas dari jumlahnya.
Tidak ditemukan: string persis ini tidak ada dalam database, tetapi periksa kekuatannya secara terpisah sebelum mengandalkannya dalam jangka panjang.
Memeriksa password yang akan Anda tetapkan sama bergunanya dengan memeriksa yang sudah Anda gunakan — tangkap pilihan buruk sebelum menjadi titik lemah akun Anda.

→ Password Generator · MD5 Generator

Kasus penggunaan umum

Memeriksa password lama yang sudah Anda gunakan bertahun-tahun dan belum pernah diverifikasi terhadap data kebocoran.
Memverifikasi password yang baru dibuat atau baru dipilih sebelum menggunakannya.
Mengaudit password bersama atau default yang digunakan oleh tim atau keluarga sebelum menggantinya.
Memutuskan password mana dari beberapa yang digunakan berulang yang harus diprioritaskan untuk diganti terlebih dahulu, berdasarkan jumlah kebocoran.

Mengapa Menggunakannya?

Model k-anonymity: hanya 5 karakter hash yang ditransmisikan, tidak pernah password atau hash lengkapnya.

Memeriksa terhadap database nyata berisi ratusan juta password bocor, yang terus diperbarui.

Hasil instan — tanpa akun, tanpa email diperlukan, tidak ada yang disimpan.

Bekerja untuk password apa pun: yang sedang Anda gunakan, yang akan Anda tetapkan, atau yang lama dan Anda ingin tahu statusnya.

Pertanyaan yang Sering Diajukan

Apakah alat ini mengirim password saya ke server?

Tidak. Browser Anda menghitung hash SHA-1 dari password secara lokal dan hanya mengirim 5 karakter pertama dari hash tersebut — tidak pernah password, dan tidak pernah hash lengkapnya. Ini adalah model k-anonymity yang dirancang khusus untuk API Pwned Passwords milik Have I Been Pwned; teknik yang sama juga digunakan oleh Chrome, Firefox, dan 1Password untuk fitur pemeriksaan kebocoran bawaan mereka.

Jika password saya tidak ditemukan, apakah itu aman?

Artinya password persis itu belum pernah muncul di kebocoran mana pun dalam database ini — bukan jaminan bahwa password itu kuat. Sebuah password bisa unik sekaligus lemah (mudah ditebak) pada saat yang sama. Gunakan alat ini bersamaan dengan pemeriksaan kekuatan, bukan sebagai penggantinya.

Apa yang harus saya lakukan jika password saya ditemukan?

Segera ubah di setiap akun yang menggunakan password tersebut, mulai dari email dan akun keuangan. Buat password baru yang unik dan acak untuk setiap akun — menggunakan password yang sama berulang kali adalah alasan mengapa satu kebocoran bisa merembet ke banyak akun lain yang terkompromi.

Mengapa jumlah kebocoran penting untuk password yang saya buat sendiri?

Jumlah tersebut tidak melacak akun spesifik Anda — melainkan berapa kali string password persis itu pernah muncul dalam database kebocoran, di antara semua orang yang pernah menggunakannya. Jumlah yang tinggi berarti itu pilihan yang umum dan mudah ditebak, terlepas dari apakah Anda menciptakannya sendiri secara independen.

Apakah ini sama dengan memeriksa apakah email saya bocor?

Tidak — itu pertanyaan yang sama sekali berbeda. Alat ini memeriksa string password terhadap data kebocoran yang diketahui. Memeriksa apakah alamat email tertentu terlibat dalam kebocoran memerlukan pencarian terpisah (situs utama Have I Been Pwned menangani itu), dan bukan sesuatu yang dicakup alat ini.