Passordlekkasje-sjekker

Sjekk om et passord har dukket opp i en kjent datalekkasje, uten at selve passordet noensinne sendes noe sted. Nettleseren din hasher det lokalt og sender bare de første 5 tegnene av den hashen til en offentlig lekkasjedatabase — nok til å slå opp blant millioner av andre hasher som deler det prefikset, aldri nok til å rekonstruere passordet ditt.

Slik bruker du det

Skriv eller lim inn passordet du vil sjekke.
Klikk eventuelt «Vis» for å bekrefte hva du skrev.
Klikk «Sjekk for lekkasjer».
Et grønt resultat betyr at det ikke ble funnet i lekkasjedatabasen; et rødt resultat viser hvor mange ganger det har dukket opp.

Eksempel

Inndata

passord123

Resultat

⚠ Funnet i 2 643 916 kjente datalekkasjer

Vanlige passord som dette dukker opp millioner av ganger fordi de står på alle angriperes liste over førstegjetninger, uansett hvilken side som ble hacket.

Hva er dette verktøyet?

Dette verktøyet sjekker et passord mot Have I Been Pwneds database Pwned Passwords, som inneholder hundrevis av millioner passord samlet fra reelle datalekkasjer. Hvis passordet ditt dukker opp, betyr det at det allerede finnes i angriperes passordlister — ikke fordi din spesifikke konto ble hacket, men fordi noen, et sted, brukte det samme passordet og det lekket.

Sjekken bruker en teknikk kalt k-anonymitet, designet spesifikt slik at en passordsjekker aldri trenger å se hele passordet. Nettleseren din regner ut SHA-1-hashen av passordet lokalt, og sender bare de første 5 tegnene av den hashen til API-et. API-et returnerer alle lekkede passord-hasher som starter med de samme 5 tegnene — vanligvis flere hundre — og nettleseren din sjekker lokalt om din fulle hash er blant dem. Det fulle passordet og den fulle hashen forlater aldri enheten din.

Hvordan k-anonymitet beskytter passordet ditt her

En naiv lekkasjesjekker ville trengt hele passordet ditt (eller den fulle hashen) for å slå det opp — som betyr å stole på en server med akkurat den hemmeligheten du prøver å beskytte. K-anonymitetstilnærmingen unngår dette: nettleseren din hasher passordet med SHA-1, og sender bare de første 5 heksadesimale tegnene av den 40-tegns hashen til API-et.

API-et svarer med hvert hash-suffiks i databasen som deler det 5-tegns prefikset — vanligvis 300–800 av dem, ikke bare ditt. Nettleseren din sjekker deretter lokalt om ditt spesifikke suffiks er blant dem. Noen som avlytter nettverksforespørselen, lærer bare at et passord med det prefikset ble sjekket, blant millioner av muligheter — langt fra nok til å vite hvilket.

Hva du bør gjøre med resultatet

Funnet med et høyt antall: fjern dette passordet overalt umiddelbart — det står på alle angriperes gjettelister.
Funnet med et lavt antall: fjern det likevel. Selv én tidligere lekkasje betyr at det er kompromittert, uansett antall.
Ikke funnet: denne eksakte strengen er ikke i databasen, men sjekk styrken separat før du stoler på den over tid.
Å sjekke et passord du er i ferd med å sette er like nyttig som å sjekke ett du allerede bruker — fang et dårlig valg før det blir kontoens svake punkt.

→ Passordgenerator · MD5-generator

Vanlige bruksområder

Sjekke et eksisterende passord du har brukt i årevis og aldri verifisert mot lekkasjedata.
Verifisere et nylig generert eller nyvalgt passord før du bestemmer deg for det.
Revidere et delt eller standardpassord brukt på tvers av et team eller en familie før rotasjon.
Avgjøre hvilket av flere gjenbrukte passord du bør prioritere å bytte først, basert på lekkasjeantall.

Hvorfor bruke det?

K-anonymitetsmodell: bare 5 hash-tegn overføres, aldri passordet eller den fulle hashen.

Sjekker mot en reell database med hundrevis av millioner lekkede passord, kontinuerlig oppdatert.

Umiddelbart resultat — ingen konto, ingen e-post kreves, ingenting lagres.

Fungerer for et hvilket som helst passord: ett du bruker nå, ett du er i ferd med å sette, eller et gammelt du lurer på.

Ofte stilte spørsmål

Sender dette verktøyet passordet mitt til en server?

Nei. Nettleseren din regner ut en SHA-1-hash av passordet lokalt og sender bare de første 5 tegnene av den hashen — aldri passordet, og aldri den fulle hashen. Dette er k-anonymitetsmodellen som Have I Been Pwneds Pwned Passwords-API spesifikt er designet rundt; det er samme teknikk som brukes av Chrome, Firefox og 1Password for deres innebygde lekkasjesjekkfunksjoner.

Hvis passordet mitt ikke blir funnet, er det trygt?

Det betyr at akkurat det passordet ikke har dukket opp i noen lekkasje i denne databasen ennå — det garanterer ikke at det er sterkt. Et passord kan være både unikt og svakt (lett å gjette) på samme tid. Bruk dette sammen med en styrke-sjekk, ikke i stedet for en.

Hva bør jeg gjøre hvis passordet mitt blir funnet?

Bytt det umiddelbart på hver konto der du har brukt det, med start i e-post og finansielle kontoer. Generer et nytt, unikt, tilfeldig passord for hver konto — gjenbruk av passord er nettopp hvorfor én lekkasje sprer seg til mange kompromitterte kontoer.

Hvorfor betyr et lekkasjeantall noe for et passord jeg fant på selv?

Antallet sporer ikke din spesifikke konto — det sporer hvor mange ganger akkurat den passordstrengen noensinne har dukket opp i en lekket database, på tvers av alle som noensinne har brukt den. Et høyt antall betyr at det er et vanlig, forutsigbart valg, uansett om du fant på det selv.

Er dette det samme som å sjekke om e-posten min har blitt lekket?

Nei — det er et helt annet spørsmål. Dette verktøyet sjekker en passordstreng mot kjente lekkasjedata. Å sjekke om en spesifikk e-postadresse var involvert i en lekkasje krever et separat oppslag (Have I Been Pwneds hovedside gjør det), og er ikke noe dette verktøyet dekker.