crypto.getRandomValuesで、英字、数字、記号からランダムなパスワードを作ります。
漏洩パスワードチェック
通信: HIBP新着
ツール自体は英語ですが、このページではお客様の言語でその使い方を説明しています。
漏洩パスワードチェック を使用してください
機能の説明
パスワードを送信せずに、Have I Been PwnedのPwned Passwordsリストと照合します。ブラウザがパスワードをSHA-1でハッシュ化し、そのハッシュの先頭5文字だけを問い合わせます。
パスワードのSHA-1ハッシュのうち、最初の5文字のみが「Have I Been Pwned」（api.pwnedpasswords.com）に送信されます。パスワードそのものは、ブラウザの外に出ることはありません。
漏洩パスワードチェック の使い方
- 確認する対象を選ぶ. What to checkで、A password（パスワード）を選びます。40文字の16進数のハッシュしかない場合はIts SHA-1 hashを選びます。
- 入力する. 伏せ字の欄にパスワードを入力します。Showで表示できます。信頼できる端末で行ってください。
- チェックを実行する. Check（確認）またはEnterキーを押します。ブラウザがパスワードをSHA-1でハッシュ化し、api.pwnedpasswords.comにはそのハッシュの先頭5文字だけを問い合わせます。
- 結果を読む. 色付きの枠に、件数付きのFound、またはNot foundが表示されます。その下の3つの欄には、送信した内容、返ってきたサフィックスの数、ハッシュが一致したかどうかが表示されます。
- 対応して消去する. パスワードが見つかった場合は、使っているすべての場所で変更し、2要素認証を有効にしてください。Clearを押すと欄と結果が空になります。
例
あらゆる漏洩リストに載っているパスワード
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yes5,000万回以上見つかります。送信されるデータはハッシュのプレフィックス5BAA6だけで、完全なSHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8はブラウザ内で照合されます。
チェック対象
| シグナル | その意味 |
|---|---|
| Found N times | あなたのハッシュとまったく同じものが、Pwned Passwordsの漏洩データにN回含まれています。攻撃者はそうしたパスワードから先に試すため、すべての場所で使うのをやめてください。 |
| Not found | そのハッシュは漏洩データに含まれていません。短いパスワードや予測しやすいパスワードは、それでも推測される可能性があります。 |
| Sent to the service | 5文字のプレフィックスで、ハッシュのうちブラウザの外に出る唯一の部分です。リクエストにはCookieもリファラーも含まれませんが、通常のWebリクエストと同様に、サービスにはIPアドレスが見えます。 |
| Suffixes returned | そのプレフィックスを共有する実際のハッシュのサフィックスの数です。応答のサイズから何もわからないよう、ツールが要求する件数0のパディング行も含まれます。 |
| Matched in your browser | yesまたはnoです。ハッシュの残りの部分は、返された一覧とあなたの端末上で比較されました。 |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f). | ハッシュモードで入力が拒否され、何も送信されませんでした。大文字小文字の違いや、ハッシュの前後の空白は問題ありません。 |
| Could not reach api.pwnedpasswords.com | オフラインであるか、拡張機能やネットワークフィルターがリクエストをブロックしています。何も確認されていません。 |
| Too many requests to Pwned Passwords | サービスがHTTP 429を返しました。数秒待ってからもう一度試してください。 |
その他の例
漏洩リストの上位にあるパスワード
123456210,461,208回見つかりました（2026年10月22日に確認）。Sent to the service: 7C4A8。Matched in your browser: yes。
有名な例のパスフレーズ
correct horse battery staple391回見つかりました（2026年10月22日に確認）。送信されたのはABF7Aだけです。長いフレーズでも、公開されたものは漏洩リストに含まれています。
1文字足りないハッシュ
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f).と表示されます。何も送信されません。
よくある質問
Have I Been Pwnedには具体的に何が送信されますか？
パスワードのSHA-1ハッシュの先頭5文字の16進数だけで、たとえば5BAA6です。サービスは、それで始まるすべてのハッシュのサフィックスと、応答の実際のサイズを隠すためのパディング行を返し、ブラウザがその一覧からハッシュの残りの部分を探します。
見つからなければ、そのパスワードは安全ですか？
いいえ。Pwned Passwordsが保持する漏洩データに含まれていないというだけで、短いパスワードや予測しやすいパスワードはすぐに推測される可能性があります。一方、見つかったという結果は信頼できます。攻撃者は漏洩リストにあるパスワードから先に試すためです。
パスワードの代わりにハッシュを確認できますか？
はい。Its SHA-1 hashを選び、40文字の16進数のハッシュを貼り付けてください。同じ5文字のプレフィックスが送信されます。ページはパスワードもハッシュも保存せず、Clearで欄と結果が空になります。
Have I Been Pwnedがプレフィックスからパスワードを割り出すことはできますか？
いいえ。5文字のプレフィックスはそれぞれ多数のハッシュに共有されており、応答には常にそのすべてとパディングが含まれるため、サービスはどのハッシュがあなたのものか、そもそも含まれているのかを判別できません。
SHA-1は弱いとされているのに、なぜSHA-1を使うのですか？
Pwned Passwordsの範囲検索サービスはSHA-1ハッシュで構成されているため、検索にはそれを使う必要があります。ここでのハッシュは検索キーにすぎず、プライバシーは40文字のうち5文字だけを送ることで守られています。
一部のパスワードで件数が非常に多いのはなぜですか？
件数は、漏洩データに含まれるすべての漏洩事案を通じて、そのパスワードが何回現れるかを示します。123456のようなありがちなものは、何百万もの別々のアカウントで使われていました。件数が0より大きければ、そのパスワードはすでに攻撃者のリストに載っています。
メールアドレスが漏洩していないかも確認できますか？
いいえ。確認するのはパスワードだけです。メールアドレスが既知の漏洩事案に含まれているかを確認するには、Have I Been PwnedのWebサイト自体を使ってください。