Contraseñas aleatorias con letras, dígitos y símbolos mediante crypto.getRandomValues.
Comprobación de contraseñas filtradas
Red: HIBPNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Comprobación de contraseñas filtradas
Para qué sirve
Comprueba una contraseña en la lista Pwned Passwords de Have I Been Pwned sin enviarla: tu navegador calcula su hash SHA-1 y solo pide el prefijo de 5 caracteres de ese hash.
Solo se envían a Have I Been Pwned (api.pwnedpasswords.com) los primeros 5 caracteres del hash SHA-1 de la contraseña; la contraseña en sí nunca sale del navegador.
Cómo utilizar Comprobación de contraseñas filtradas
- Elige qué comprobar. En What to check (Qué comprobar), elige A password (Una contraseña), o Its SHA-1 hash si solo tienes el hash hexadecimal de 40 caracteres.
- Escríbela. Introduce la contraseña en el campo oculto; Show (Mostrar) la deja ver. Hazlo en un dispositivo de confianza.
- Ejecuta la comprobación. Pulsa Check (Comprobar) o Intro. Tu navegador calcula el hash SHA-1 de la contraseña y solo pide a api.pwnedpasswords.com los 5 primeros caracteres de ese hash.
- Lee el resultado. El recuadro de color dice Found (Encontrada) con un recuento, o Not found (No encontrada). Los tres campos de debajo muestran qué se envió, cuántos sufijos se recibieron y si tu hash coincidió.
- Actúa y borra. Si se encontró la contraseña, cámbiala en todos los sitios donde la uses y activa la autenticación en dos pasos. Pulsa Clear para vaciar el campo y el resultado.
Ejemplo
Una contraseña presente en todas las listas de filtraciones
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesEncontrada más de 50 millones de veces. El único dato enviado es el prefijo del hash 5BAA6; el SHA-1 completo 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 se compara en el navegador.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Found N times | Tu hash exacto aparece N veces en el conjunto de filtraciones de Pwned Passwords. Los atacantes prueban primero esas contraseñas, así que deja de usarla en todas partes. |
| Not found | El hash no está en el conjunto. Una contraseña corta o predecible se puede adivinar igualmente. |
| Sent to the service | El prefijo de 5 caracteres: la única parte del hash que sale de tu navegador. La solicitud no lleva cookies ni referente, pero el servicio ve tu dirección IP, como en cualquier solicitud web. |
| Suffixes returned | Cuántos sufijos de hash reales comparten ese prefijo, más las filas de relleno con recuento 0 que la herramienta solicita para que el tamaño de la respuesta no revele nada. |
| Matched in your browser | yes o no: el resto de tu hash se comparó con la lista recibida en tu dispositivo. |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f). | El modo hash rechazó la entrada (un hash SHA-1 tiene exactamente 40 caracteres hexadecimales) y no se envió nada. Las mayúsculas o minúsculas y los espacios alrededor del hash no importan. |
| Could not reach api.pwnedpasswords.com | Estás sin conexión, o una extensión o un filtro de red bloquea la solicitud. No se comprobó nada. |
| Too many requests to Pwned Passwords | El servicio respondió HTTP 429. Espera unos segundos y vuelve a intentarlo. |
Más ejemplos
Una de las contraseñas más filtradas
123456Encontrada 210 461 208 veces (comprobado el 22 de octubre de 2026). Enviado al servicio: 7C4A8. Coincidencia en tu navegador: yes.
Una frase de ejemplo famosa
correct horse battery stapleEncontrada 391 veces (comprobado el 22 de octubre de 2026). Solo se envió ABF7A. Una frase larga que se ha publicado sigue estando en las listas de filtraciones.
Un hash al que le falta un carácter
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f). No se envía nada.
Preguntas frecuentes
¿Qué se envía exactamente a Have I Been Pwned?
Solo los 5 primeros caracteres hexadecimales del hash SHA-1 de la contraseña, por ejemplo 5BAA6. El servicio responde con todos los sufijos de hash que empiezan por ellos, más filas de relleno que ocultan el tamaño real de la respuesta, y tu navegador busca el resto del hash en esa lista.
¿Que no se encuentre significa que la contraseña es segura?
No. Solo significa que la contraseña no está en el conjunto de filtraciones que contiene Pwned Passwords; una contraseña corta o predecible se puede adivinar rápidamente igualmente. Un resultado positivo sí es fiable, porque los atacantes prueban primero las contraseñas de las listas de filtraciones.
¿Puedo comprobar un hash en lugar de la contraseña?
Sí. Elige Its SHA-1 hash (Su hash SHA-1) y pega el hash hexadecimal de 40 caracteres; se envía el mismo prefijo de 5 caracteres. La página no guarda la contraseña ni el hash, y Clear (Borrar) vacía el campo y el resultado.
¿Puede Have I Been Pwned deducir mi contraseña a partir del prefijo?
No. Cada prefijo de 5 caracteres lo comparten muchos hashes, y la respuesta siempre los contiene todos más el relleno, así que el servicio no puede saber cuál es el tuyo, si es que alguno lo es.
¿Por qué SHA-1, si SHA-1 se considera débil?
El servicio de rangos de Pwned Passwords está organizado por hash SHA-1, así que la consulta tiene que usarlo. Aquí el hash es solo una clave de búsqueda; la privacidad procede de enviar 5 de sus 40 caracteres.
¿Por qué el recuento es tan alto en algunas contraseñas?
El recuento es cuántas veces aparece la contraseña en todas las filtraciones que contiene el conjunto, y opciones comunes como 123456 las usaron millones de cuentas distintas. Cualquier recuento mayor que cero significa que la contraseña ya está en las listas de los atacantes.
¿Comprueba esto si mi dirección de correo aparece en filtraciones?
No. Solo comprueba contraseñas. Para ver si una dirección de correo aparece en una filtración conocida, usa el propio sitio web de Have I Been Pwned.