Verificar senha vazada

Senhas roubadas de sites invadidos acabam em listas, e os atacantes testam essas listas em todas as outras páginas de login que encontram. Descubra se a sua está em uma delas. A senha nunca sai do seu aparelho.

O que você digita fica neste navegador. É convertido em hash aqui e só os 5 primeiros caracteres do hash são transmitidos. Não guardamos nenhum registro.

Por que uma senha vazada é pior que uma senha fraca

Quando um site é invadido, a tabela de contas roubada geralmente vai à venda e, algum tempo depois, fica de graça. Ao longo dos anos, esses despejos foram juntados em coleções com bilhões de pares de e-mail e senha. Os atacantes pararam de adivinhar há muito tempo. Eles passam os pares para um script que testa cada um em bancos, provedores de e-mail e lojas. Isso se chama credential stuffing, e funciona toda vez que alguém reutilizou uma senha.

Então uma senha que está nessas coleções está queimada, por mais longa ou complicada que pareça. Tr0ub4dor&3 impressiona qualquer medidor de força, e está nas listas.

Esta verificação consulta o Pwned Passwords, o banco de dados público mantido pelo projeto Have I Been Pwned. Ele guarda as senhas dos vazamentos que o projeto processou, cada uma com o número de vezes que foi vista.

Verificar sem entregar a senha

Enviar sua senha a um site para perguntar se ela é segura seria um jeito estranho de protegê-la. A verificação contorna isso com um método chamado k-anonimato:

  1. Seu navegador calcula o hash SHA-1 do que você digitou. Um hash é um código de tamanho fixo derivado do texto. Para Summer2024! ele é 7E8B0A3433F1210A9699D85420E363A1B162ECAC.
  2. Só os cinco primeiros caracteres, aqui 7E8B0, vão para o nosso servidor, que os repassa ao serviço Pwned Passwords.
  3. O serviço devolve todos os hashes vazados que começam com esses cinco caracteres, normalmente entre mil e dois mil, completados com linhas falsas para que nem o tamanho da resposta revele alguma coisa.
  4. Seu navegador procura nessa lista os 35 caracteres restantes do seu hash.

Existem 1.048.576 prefixos possíveis de cinco caracteres. Quem vê o seu fica sabendo que sua senha é uma dos milhares que o compartilham, ou nenhuma delas. É tudo o que essa pessoa consegue. A linha abaixo do resultado mostra o prefixo enviado e quantos hashes voltaram, para você acompanhar a troca por conta própria.

Como ler as duas respostas

Encontrada em vazamentos, com uma contagem
A contagem é o número de vezes que essa senha exata aparece nos dados vazados. Uma contagem na casa dos milhares quer dizer que muita gente a escolheu e que ela está no topo de toda lista de ataque. Uma contagem de 1 ou 2 pode muito bem ser a sua própria conta em um vazamento antigo. De qualquer forma, considere a senha pública.
Nenhum vazamento encontrado
A senha não está no banco de dados. Boa notícia, mas só pela metade: um vazamento que ainda não veio à tona não está coberto, e uma senha curta ainda pode ser adivinhada diretamente.

Por causa dessa segunda metade, a página também estima a força enquanto você digita, no seu aparelho. A estimativa parte do comprimento multiplicado pela variedade de caracteres usados (minúsculas, maiúsculas, dígitos, símbolos), expressa em bits. Depois ela tira pontos pelos hábitos que os atacantes testam primeiro: uma palavra muito comum, mesmo com letras trocadas por dígitos; quatro teclas ou letras seguidas como qwer ou 1234; o mesmo caractere três vezes seguidas; um ano. Abaixo de 28 bits é classificada como muito fraca, abaixo de 45 fraca, abaixo de 65 razoável, e 65 ou mais forte. Uma senha que não vazou mas fica abaixo de “razoável” recebe um aviso.

O medidor é uma referência aproximada. Ele conhece algumas dezenas de palavras comuns, não um dicionário, e não faz ideia de que a senha é o nome da sua rua ou do seu cachorro. A consulta de vazamentos é o único fato concreto desta página.

O que fazer quando ela está na lista

  1. Troque primeiro a do seu e-mail. Sua caixa de entrada recebe os links de redefinição de todo o resto, o que faz dela a conta que um atacante mais quer.
  2. Troque em todos os outros lugares onde você a usou, incluindo as versões com outro dígito no final. Os scripts testam essas também.
  3. Deixe um gerenciador de senhas criar as substitutas. Bitwarden, 1Password, KeePassXC ou o gerenciador embutido no seu navegador ou celular geram e lembram uma senha aleatória diferente para cada site. Se você precisa decorar uma, quatro ou cinco palavras sem relação entre si são mais fortes e mais fáceis que uma mistura curta de símbolos.
  4. Ative a verificação em duas etapas onde ela for oferecida, de preferência com um app autenticador ou uma passkey. Depois disso, uma senha roubada não basta para entrar.

Esta verificação trata uma senha por vez e não sabe quais das suas contas foram vazadas. Para pesquisar por endereço de e-mail, vá direto ao site Have I Been Pwned. A maioria dos gerenciadores de senhas também consegue auditar um cofre inteiro com o mesmo método de k-anonimato.

Perguntas frequentes

É seguro digitar minha senha real nesta página?

A senha não é transmitida. Seu navegador gera o hash dela e envia cinco caracteres do hash, que correspondem a milhares de senhas diferentes. Mas você não precisa acreditar na palavra de uma página da web: a aba de rede do seu navegador mostra exatamente o que esta página envia, e os gerenciadores de senhas e a API do Pwned Passwords oferecem a mesma consulta.

Minha senha foi encontrada, mas nunca fui hackeado. Como isso é possível?

A contagem é da senha, não de você. Outra pessoa pode ter usado a mesma senha em um site que foi invadido, ou um site onde você tinha conta vazou sem avisar. Nos dois casos, a senha agora está nas listas que os atacantes usam.

“Nenhum vazamento encontrado” quer dizer que minha senha é forte?

Não. Quer dizer que a senha não está nos vazamentos coletados até agora. Algo como Kq7! não está em nenhuma lista e mesmo assim cairia em segundos. Olhe também a linha de força e mire em pelo menos 12 caracteres.

Por que SHA-1, se o SHA-1 é considerado quebrado?

SHA-1 é uma má escolha para assinaturas digitais e para guardar senhas em um servidor. Aqui ele é só uma forma de indexar uma lista pública, e o hash completo nunca sai do seu navegador, então as fraquezas dele não entram em jogo.

Com que frequência devo trocar minhas senhas?

A orientação atual do NIST nos Estados Unidos e do NCSC no Reino Unido é parar de trocá-las por calendário. Troque uma quando houver motivo: ela aparece em um vazamento, você a compartilhou, ou o serviço informa uma invasão.

Por que a verificação me pediu para voltar mais tarde?

As consultas são limitadas a 60 por hora a partir de uma mesma conexão, para que o repasse não possa ser usado em testes em massa.

Verificações relacionadas