Password casuali da lettere, cifre e simboli tramite crypto.getRandomValues.
Verifica password compromesse
Rete: HIBPNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Verifica password compromesse
Cosa fa
Controlla una password nell'elenco Pwned Passwords di Have I Been Pwned senza inviarla: il browser ne calcola l'hash SHA-1 e chiede solo il prefisso di 5 caratteri di quell'hash.
A Have I Been Pwned (api.pwnedpasswords.com) vengono inviati solo i primi 5 caratteri dell'hash SHA-1 della password; la password stessa non esce mai dal browser.
Come utilizzare Verifica password compromesse
- Scegli cosa controllare. In What to check, scegli A password, oppure Its SHA-1 hash se hai solo l'hash esadecimale di 40 caratteri.
- Digitala. Inserisci la password nel campo mascherato; Show la rende visibile. Fallo su un dispositivo di cui ti fidi.
- Avvia il controllo. Premi Check o Invio. Il browser calcola l'hash SHA-1 della password e chiede ad api.pwnedpasswords.com solo i primi 5 caratteri di quell'hash.
- Leggi il risultato. Il riquadro colorato dice Found con un conteggio, oppure Not found. I tre campi sotto mostrano cosa è stato inviato, quanti suffissi sono tornati e se il tuo hash ha trovato corrispondenza.
- Agisci e svuota. Se la password è stata trovata, cambiala ovunque la usi e attiva l'autenticazione a due fattori. Premi Clear per svuotare il campo e il risultato.
Esempio
Una password presente in ogni elenco di violazioni
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesTrovata più di 50 milioni di volte. L'unico dato inviato è il prefisso dell'hash 5BAA6; lo SHA-1 completo 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 viene confrontato nel browser.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Found N times | Il tuo hash esatto compare N volte nel corpus di violazioni di Pwned Passwords. Gli aggressori provano per prime queste password, quindi smetti di usarla ovunque. |
| Not found | L'hash non è nel corpus. Una password breve o prevedibile può comunque essere indovinata. |
| Sent to the service | Il prefisso di 5 caratteri: l'unica parte dell'hash che lascia il tuo browser. La richiesta non contiene cookie né referrer, ma il servizio vede il tuo indirizzo IP, come per qualsiasi richiesta web. |
| Suffixes returned | Quanti suffissi di hash reali condividono quel prefisso, più righe di riempimento con conteggio 0 che lo strumento richiede affinché la dimensione della risposta non riveli nulla. |
| Matched in your browser | yes o no: il resto del tuo hash è stato confrontato con l'elenco restituito, sul tuo dispositivo. |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f). | La modalità hash ha rifiutato l'input e non è stato inviato nulla. Maiuscole o minuscole e spazi attorno all'hash vanno bene. |
| Could not reach api.pwnedpasswords.com | Sei offline, oppure un'estensione o un filtro di rete blocca la richiesta. Non è stato controllato nulla. |
| Too many requests to Pwned Passwords | Il servizio ha risposto HTTP 429. Aspetta qualche secondo e riprova. |
Altri esempi
Una delle password più presenti negli elenchi di violazioni
123456Found 210,461,208 times (verificato il 22 ottobre 2026). Inviato al servizio: 7C4A8. Matched in your browser: yes.
Una famosa passphrase di esempio
correct horse battery stapleFound 391 times (verificato il 22 ottobre 2026). È stato inviato solo ABF7A. Una frase lunga che è stata pubblicata è comunque negli elenchi di violazioni.
Un hash con un carattere in meno
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f). Non viene inviato nulla.
Domande frequenti
Cosa viene inviato esattamente a Have I Been Pwned?
Solo i primi 5 caratteri esadecimali dell'hash SHA-1 della password, ad esempio 5BAA6. Il servizio risponde con tutti i suffissi di hash che iniziano con quei caratteri, più righe di riempimento che nascondono la dimensione reale della risposta, e il browser cerca il resto dell'hash in quell'elenco.
Non trovata significa che la password è sicura?
No. Significa solo che la password non è nel corpus di violazioni di Pwned Passwords; una password breve o prevedibile può comunque essere indovinata rapidamente. Un risultato positivo è affidabile, perché gli aggressori provano per prime le password degli elenchi di violazioni.
Posso controllare un hash invece della password?
Sì. Scegli Its SHA-1 hash e incolla l'hash esadecimale di 40 caratteri; viene inviato lo stesso prefisso di 5 caratteri. La pagina non salva né la password né l'hash, e Clear svuota il campo e il risultato.
Have I Been Pwned può ricavare la mia password dal prefisso?
No. Ogni prefisso di 5 caratteri è condiviso da molti hash, e la risposta li contiene sempre tutti più il riempimento, quindi il servizio non può sapere quale hash, se ce n'è uno, sia il tuo.
Perché SHA-1, se SHA-1 è considerato debole?
Il servizio a intervalli di Pwned Passwords è organizzato per hash SHA-1, quindi la ricerca deve usarlo. Qui l'hash è solo una chiave di ricerca; la privacy deriva dall'invio di 5 dei suoi 40 caratteri.
Perché il conteggio è così alto per alcune password?
Il conteggio indica quante volte la password compare in tutte le violazioni contenute nel corpus, e scelte comuni come 123456 sono state usate da milioni di account distinti. Qualsiasi conteggio superiore a zero significa che la password è già negli elenchi degli aggressori.
Questo controlla se il mio indirizzo e-mail è in una violazione?
No. Controlla solo le password. Per sapere se un indirizzo e-mail compare in una violazione nota, usa direttamente il sito di Have I Been Pwned.