סיסמאות אקראיות המורכבות מאותיות, ספרות ותווים מיוחדים באמצעות crypto.getRandomValues.
בדיקת סיסמאות שנפרצו
רשת: HIBPחדש
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-בדיקת סיסמאות שנפרצו
מה זה עושה
בדוק אם סיסמה מופיעה ברשימת הסיסמאות שנפרצו (Pwned Passwords) של האתר "Have I Been Pwned" מבלי לשלוח אותה: הדפדפן שלך מבצע חשיש של הסיסמה באמצעות SHA-1 ומבקש רק את חמש התווים הראשונים של החשיש הזה.
רק 5 התווים הראשונים של ה-SHA-1 של הסיסמה נשלחים לאתר Have I Been Pwned (api.pwnedpasswords.com); הסיסמה עצמה לעולם אינה עוזבת את הדפדפן.
כיצד להשתמש ב-בדיקת סיסמאות שנפרצו
- בחר מה לבדוק. תחת "מה לבדוק", בחר "סיסמה" או "ה-SHA-1 שלה" אם יש לך רק את ה-hash ההקסדצימלי בן 40 תווים.
- הקלד את זה. הזן את הסיסמה בשדה המוסתר; לחיצה על "הצג" תחשוף אותה. בצע פעולה זו במכשיר שאתה סומך עליו.
- הפעל את הבדיקה. לחץ על 'בדוק' או על 'Enter'. הדפדפן שלך מבצע חשיפת הסיסמה באמצעות SHA-1 ומבקש מ-api.pwnedpasswords.com רק את 5 התווים הראשונים של החשיפה הזו.
- קרא את התוצאה. בתיבה הצבעונית מופיעה ההודעה "נמצא" עם מספר, או "לא נמצא". שלושת השדות שמתחתיה מציגים מה נשלח, כמה סיומות התקבלו בחזרה והאם ההאש שלך תואם.
- פעל ונקו. אם הסיסמה נמצאה, שנה אותה בכל מקום שבו אתה משתמש בה והפעל אימות דו-שלבי. לחץ על "נקה" כדי לרוקן את השדה ואת התוצאה.
דוגמה
סיסמה מכל רשימת פריצות
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesנמצא יותר מ-50 מיליון פעמים. הנתון היחיד שנשלח הוא קידומת ההאש 5BAA6; ה-SHA-1 המלא 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 מותאם בדפדפן.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| נמצא N פעמים | ה-hash המדויק שלך מופיע N פעמים במאגר הפרצות של "Pwned Passwords". התוקפים מנסים סיסמאות כאלה קודם כל, אז תפסיק להשתמש בה בכל מקום. |
| לא נמצא | ה-hash אינו מופיע במאגר. סיסמה קצרה או צפויה עדיין ניתנת לניחוש. |
| נשלח לשירות | הקידומת בת 5 התווים: החלק היחיד מה-hash שיוצא מהדפדפן שלך. הבקשה אינה כוללת עוגיות או כתובת מפנה, אך השירות רואה את כתובת ה-IP שלך, כמו בכל בקשה באינטרנט. |
| סיומות שהוחזרו | כמה סיומות האש אמיתיות חולקות את הקידומת הזו, בנוסף לשורות מילוי עם ספירה של 0 שהכלי מבקש, כך שגודל התשובה לא יחשוף דבר. |
| מותאם בדפדפן שלך | כן או לא: שאר ה-hash שלך הושווה לרשימה שהוחזרה במכשיר שלך. |
| ה-hash של SHA-1 מכיל בדיוק 40 תווים הקסדצימליים (0-9, a-f). | מצב ה-hash דחה את הקלט ולא נשלח דבר. אין בעיה להשתמש באותיות גדולות או קטנות או ברווחים סביב ה-hash. |
| לא ניתן היה להתחבר ל-api.pwnedpasswords.com | אתה לא מחובר, או שתוסף כלשהו או מסנן רשת חוסם את הבקשה. לא נבדק דבר. |
| יותר מדי בקשות ל-Pwned Passwords | השירות השיב בשגיאה HTTP 429. המתן מספר שניות ונסה שוב. |
דוגמאות נוספות
סיסמה המופיעה בראש רשימת הסיסמאות הנפוצות ביותר בפריצות
123456נמצא 210,461,208 פעמים (נבדק ב-22 באוקטובר 2026). נשלח לשירות: 7C4A8. תואם בדפדפן שלך: כן.
דוגמה מפורסמת לביטוי סיסמה
correct horse battery stapleנמצא 391 פעמים (נבדק ב-22 באוקטובר 2026). נשלח רק ABF7A. ביטוי ארוך שפורסם עדיין מופיע ברשימות הפרצות.
האש שחסר בו תו אחד
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941ה-hash של SHA-1 מכיל בדיוק 40 תווים הקסדצימליים (0-9, a-f). לא נשלח דבר.
שאלות נפוצות
מה בדיוק נשלח לאתר "Have I Been Pwned"?
רק חמש התווים ההקסדצימליים הראשונים של ה-SHA-1 של הסיסמה, לדוגמה 5BAA6. השירות משיב עם כל סיומת של ה-hash שמתחילה בתווים אלה, בתוספת שורות מילוי שמסתירות את הגודל האמיתי של התשובה, והדפדפן שלך מחפש את שאר ה-hash ברשימה הזו.
האם העובדה שלא נמצא דבר פירושה שהסיסמה בטוחה?
לא. זה רק אומר שהסיסמה אינה מופיעה במאגר הפרצות ש-Pwned Passwords מחזיק; סיסמה קצרה או צפויה עדיין עלולה להיחשף במהירות. תוצאה שנמצאה היא אמינה, מכיוון שתוקפים מנסים תחילה סיסמאות מרשימות הפרצות.
האם אפשר לבדוק את ה-hash במקום את הסיסמה?
כן. בחר את ה-SHA-1 של הסיסמה והדבק את ה-hash ההקסדצימלי בן 40 התווים; אותה קידומת בת 5 תווים נשלחת. הדף אינו שומר את הסיסמה או את ה-hash, והלחצן "נקה" מרוקן את השדה ואת התוצאה.
האם האתר "Have I Been Pwned" יכול לפענח את הסיסמה שלי על סמך הקידומת?
לא. כל קידומת בת 5 תווים משותפת למספר רב של חשישים, והתשובה תמיד מכילה את כולם בתוספת תווים למילוי, ולכן השירות אינו יכול לזהות איזה חשיש, אם בכלל, הוא שלך.
מדוע SHA-1, הרי SHA-1 נחשב חלש?
שירות "Pwned Passwords" מאורגן לפי חתימת SHA-1, ולכן החיפוש חייב להשתמש בה. במקרה זה, החתימה משמשת רק כמפתח חיפוש; הפרטיות נובעת משליחת 5 מתוך 40 התווים שלה.
מדוע מספר ההופעות של סיסמאות מסוימות כה גבוה?
הספירה מציינת את תדירות הופעת הסיסמה בכל הפרצות הכלולות במאגר, ובחירות נפוצות כגון 123456 שימשו במיליוני חשבונות נפרדים. כל ספירה מעל אפס פירושה שהסיסמה כבר נמצאת ברשימות התוקפים.
האם כלי זה בודק אם כתובת הדוא"ל שלי נפגעה?
לא. הוא בודק רק סיסמאות. כדי לבדוק אם כתובת דוא"ל מופיעה בפרצת אבטחה ידועה, יש להשתמש באתר "Have I Been Pwned" עצמו.