Verifica violazioni delle password

Verifica se una password è stata coinvolta in una violazione dei dati nota, senza mai inviare la password stessa da nessuna parte. Il tuo browser ne calcola l'hash localmente e invia solo i primi 5 caratteri di tale hash a un database pubblico dedicato alle violazioni: sufficienti per effettuare una ricerca tra milioni di altri hash che condividono lo stesso prefisso, ma mai abbastanza per ricostruire la tua password.

Come si usa

Digita o incolla la password che desideri verificare.
Se lo desideri, clicca su "Mostra" per verificare ciò che hai digitato.
Fai clic su "Verifica la presenza di violazioni".
Un risultato verde indica che non è stato trovato nel database delle violazioni; un risultato rosso mostra quante volte è apparso.

Esempio

Input

password123

Risultato

⚠ Found in 2,643,916 known data breaches

Password comuni come questa compaiono milioni di volte perché figurano nella lista delle prime ipotesi di ogni hacker, indipendentemente dal sito che è stato violato.

Che cos'è questo strumento?

Questo strumento verifica una password confrontandola con il database "Pwned Passwords" di Have I Been Pwned, che contiene centinaia di milioni di password raccolte da vere e proprie violazioni dei dati. Se la tua password compare nell'elenco, significa che è già presente negli elenchi di password degli hacker — non perché il tuo account specifico sia stato violato, ma perché qualcuno, da qualche parte, ha utilizzato quella stessa password e questa è trapelata.

La verifica utilizza una tecnica chiamata “k-anonimato”, progettata appositamente affinché lo strumento di verifica delle password non debba mai visualizzare la password completa. Il browser calcola localmente l’hash SHA-1 della password, quindi invia all’API solo i primi 5 caratteri di tale hash. L’API restituisce tutti gli hash di password compromessi che iniziano con quegli stessi 5 caratteri — solitamente diverse centinaia — e il browser verifica localmente se l’hash completo della password dell’utente è tra questi. La password completa e l’hash completo non lasciano mai il dispositivo dell’utente.

In che modo il k-anonimato protegge la tua password in questo caso

Uno strumento di verifica delle violazioni di tipo “naïve” avrebbe bisogno della tua password completa (o del suo hash completo) per effettuare la ricerca — il che significa affidare a un server proprio quel segreto che stai cercando di proteggere. L’approccio basato sul k-anonimato aggira questo problema: il browser esegue l’hash della password con SHA-1, quindi invia all’API solo i primi 5 caratteri esadecimali di quell’hash di 40 caratteri.

L'API risponde indicando tutti i suffissi di hash presenti nel proprio database che condividono quel prefisso di 5 caratteri — in genere tra i 300 e gli 800, non solo il tuo. Il tuo browser verifica quindi localmente se il tuo suffisso specifico è tra questi. Un malintenzionato che intercetta la richiesta di rete viene a sapere solo che è stata verificata una password con quel prefisso, tra milioni di possibilità: un'informazione di gran lunga insufficiente per individuarla.

Cosa fare con il risultato

Se ne trovi molte: smetti immediatamente di usare questa password ovunque — è nella lista delle possibili combinazioni di ogni hacker.
Se viene rilevata con un numero basso di occorrenze: eliminala comunque. Anche una sola violazione precedente significa che è compromessa, indipendentemente dal numero.
Non trovata: questa stringa esatta non è presente nel database, ma verifica separatamente la sua efficacia prima di affidarti ad essa a lungo termine.
Verificare una password che stai per impostare è utile tanto quanto verificarne una che già utilizzi: individua una scelta sbagliata prima che diventi il punto debole del tuo account.

→ Generatore di password · Generatore MD5

Casi d'uso comuni

Verificare una password esistente che usi da anni e che non hai mai confrontato con i dati relativi alle violazioni.
Verificare una password appena generata o appena scelta prima di confermarla.
Verificare una password condivisa o predefinita utilizzata da un team o da una famiglia prima di cambiarla.
Decidere quale delle diverse password riutilizzate cambiare per prima, in base al numero di violazioni.

Perché usarlo?

Modello di K-anonimato: vengono trasmessi solo 5 caratteri dell'hash, mai la password né l'hash completo.

Verifica rispetto a un database reale contenente centinaia di milioni di password compromesse, aggiornato costantemente.

Risultato immediato: non è necessario creare un account né fornire un indirizzo e-mail, e non viene memorizzato nulla.

Funziona con qualsiasi password: quella che stai usando al momento, quella che stai per impostare o una vecchia password di cui ti stai chiedendo il significato.

Domande frequenti

Questo strumento invia la mia password a un server?

No. Il browser calcola localmente l’hash SHA-1 della password e invia solo i primi 5 caratteri di tale hash — mai la password e mai l’hash completo. Si tratta del modello di k-anonimato su cui è stata specificatamente progettata l’API Pwned Passwords di Have I Been Pwned; è la stessa tecnica utilizzata da Chrome, Firefox e 1Password per le loro funzionalità integrate di verifica delle violazioni.

Se la mia password non viene trovata, è sicuro?

Significa che quella password specifica non è ancora stata rilevata in nessuna violazione presente in questo database — ma ciò non garantisce che sia sicura. Una password può essere allo stesso tempo unica e debole (facile da indovinare). Utilizza questo strumento in combinazione con un controllo della sicurezza, non al posto di esso.

Cosa devo fare se la mia password viene scoperta?

Modificala immediatamente su tutti gli account in cui l'hai utilizzata, a partire dall'account e-mail e da quelli finanziari. Crea una nuova password unica e casuale per ciascuno di essi: il riutilizzo delle password è proprio il motivo per cui una violazione può portare alla compromissione a catena di numerosi account.

Perché il numero di caratteri è importante per una password che ho creato io stesso?

Il conteggio non riguarda il tuo account specifico, ma tiene traccia di quante volte quella precisa stringa di password è mai apparsa in un database compromesso, considerando tutti coloro che l’hanno mai utilizzata. Un conteggio elevato indica che si tratta di una scelta comune e prevedibile, indipendentemente dal fatto che tu l’abbia ideata autonomamente o meno.

È la stessa cosa che verificare se il mio indirizzo e-mail è stato compromesso?

No — quella è una questione completamente diversa. Questo strumento verifica se una stringa di password è presente nei dati relativi alle violazioni note. Verificare se un indirizzo e-mail specifico sia stato coinvolto in una violazione richiede una ricerca separata (il sito principale di Have I Been Pwned lo fa), e non è una funzione prevista da questo strumento.