Willekeurige wachtwoorden bestaande uit letters, cijfers en symbolen via crypto.getRandomValues.
Controle op gehackte wachtwoorden
Netwerk: HIBPNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Controle op gehackte wachtwoorden
Wat het doet
Controleer of een wachtwoord voorkomt in de ‘Pwned Passwords’-lijst van Have I Been Pwned zonder het daadwerkelijk te verzenden: je browser genereert er een hash van met SHA-1 en vraagt alleen om het voorvoegsel van vijf tekens van die hash.
Alleen de eerste 5 tekens van de SHA-1-hash van het wachtwoord worden naar Have I Been Pwned (api.pwnedpasswords.com) verzonden; het wachtwoord zelf verlaat de browser nooit.
Hoe gebruik je Controle op gehackte wachtwoorden
- Kies wat je wilt controleren. Kies onder ‘Wat moet je controleren’ de optie ‘Een wachtwoord’ of ‘De SHA-1-hash ervan’ als je alleen de hexadecimale hash van 40 tekens hebt.
- Typ het in. Voer het wachtwoord in het gemaskeerde veld in; klik op ‘Weergeven’ om het zichtbaar te maken. Doe dit op een apparaat dat je vertrouwt.
- Voer de controle uit. Druk op Check of Enter. Je browser genereert een hash van het wachtwoord met SHA-1 en vraagt api.pwnedpasswords.com alleen om de eerste 5 tekens van die hash.
- Bekijk het resultaat. In het gekleurde vakje staat ‘Gevonden’ met een aantal, of ‘Niet gevonden’. In de drie velden daaronder wordt weergegeven wat er is verzonden, hoeveel achtervoegsels er zijn teruggekomen en of jouw hash overeenkwam.
- Handelen en opruimen. Als het wachtwoord is gevonden, wijzig het dan overal waar je het gebruikt en schakel tweefactorauthenticatie in. Klik op ‘Wissen’ om het veld en het resultaat te wissen.
Voorbeeld
Een wachtwoord uit elke lijst met gelekte gegevens
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesMeer dan 50 miljoen keer gevonden. De enige gegevens die worden verzonden, zijn het hash-voorvoegsel 5BAA6; de volledige SHA-1-hash 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 wordt in de browser vergeleken.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| N keer gevonden | Je exacte hash komt N keer voor in de database van het Pwned Passwords-datalek. Aanvallers proberen dergelijke wachtwoorden als eerste, dus stop ermee om het overal te gebruiken. |
| Niet gevonden | De hash staat niet in het corpus. Een kort of voorspelbaar wachtwoord kan nog steeds worden geraden. |
| Naar de dienst verzonden | Het voorvoegsel van 5 tekens: het enige deel van de hash dat je browser verlaat. Het verzoek bevat geen cookies en geen verwijzer, maar de dienst ziet je IP-adres, net als bij elk ander webverzoek. |
| Teruggegeven achtervoegsels | Hoeveel echte hash-achtervoegsels hebben dat voorvoegsel gemeen, plus de opvulrijen met een telling van 0 die de tool vraagt, zodat de grootte van het antwoord niets prijsgeeft. |
| Aangepast in je browser | ja of nee: de rest van je hash is vergeleken met de lijst die op je apparaat is teruggegeven. |
| Een SHA-1-hash bestaat uit precies 40 hexadecimale tekens (0-9, a-f). | De hash-modus heeft de invoer afgewezen en er is niets verzonden. Hoofdletters, kleine letters en spaties rondom de hash zijn toegestaan. |
| Kon api.pwnedpasswords.com niet bereiken | Je bent offline, of een extensie of netwerkfilter blokkeert het verzoek. Er is niets aangevinkt. |
| Er zijn te veel verzoeken naar Pwned Passwords | De service heeft een HTTP 429-foutmelding teruggestuurd. Wacht een paar seconden en probeer het opnieuw. |
Nog meer voorbeelden
Een wachtwoord uit de lijst met meest gehackte wachtwoorden
123456210.461.208 keer gevonden (gecontroleerd op 22 oktober 2026). Verzonden naar de dienst: 7C4A8. Gevonden in je browser: ja.
Een bekend voorbeeld van een wachtzin
correct horse battery staple391 keer gevonden (gecontroleerd op 22 oktober 2026). Alleen ABF7A is verzonden. Een lange zin die al is gepubliceerd, staat nog steeds op de lijsten met inbreuken.
Een hash die één teken te kort is
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941Een SHA-1-hash bestaat uit precies 40 hexadecimale tekens (0-9, a-f). Er wordt niets verzonden.
Veelgestelde vragen
Wat wordt er precies naar Have I Been Pwned gestuurd?
Alleen de eerste 5 hexadecimale tekens van de SHA-1-hash van het wachtwoord, bijvoorbeeld 5BAA6. De dienst geeft als antwoord alle hash-achtervoegsels die daarmee beginnen, aangevuld met opvulregels die de werkelijke omvang van het antwoord verbergen, en je browser zoekt de rest van de hash in die lijst.
Betekent ‘niet gevonden’ dat het wachtwoord veilig is?
Nee. Het betekent alleen dat het wachtwoord niet voorkomt in de database met gelekte wachtwoorden van Pwned Passwords; een kort of voorspelbaar wachtwoord kan nog steeds snel worden geraden. Een gevonden resultaat is betrouwbaar, omdat aanvallers eerst wachtwoorden uit lijsten met gelekte wachtwoorden proberen.
Kan ik een hash controleren in plaats van het wachtwoord?
Ja. Kies de SHA-1-hash en plak de hexadecimale hash van 40 tekens; hetzelfde voorvoegsel van 5 tekens wordt verzonden. De pagina slaat noch het wachtwoord, noch de hash op, en met ‘Clear’ worden het veld en het resultaat gewist.
Kan ‘Have I Been Pwned’ mijn wachtwoord achterhalen aan de hand van het voorvoegsel?
Nee. Elk voorvoegsel van 5 tekens komt bij veel hashes voor, en het antwoord bevat altijd al deze voorvoegsels plus opvultekens, dus de dienst kan niet vaststellen welke hash, als die er al is, van jou is.
Waarom SHA-1, terwijl SHA-1 als zwak wordt beschouwd?
De dienst ‘Pwned Passwords’ is geordend op basis van de SHA-1-hash, dus bij het opzoeken moet hiervan gebruik worden gemaakt. Hier fungeert de hash slechts als opzoeksleutel; de privacy wordt gewaarborgd doordat slechts 5 van de 40 tekens worden verzonden.
Waarom is het aantal bij sommige wachtwoorden zo hoog?
Het aantal geeft aan hoe vaak het wachtwoord voorkomt in alle datalekken die in het corpus zijn opgenomen, en veelgebruikte combinaties zoals 123456 werden door miljoenen afzonderlijke accounts gebruikt. Elk aantal groter dan nul betekent dat het wachtwoord al op de lijsten van aanvallers staat.
Wordt mijn e-mailadres hiermee gecontroleerd op datalekken?
Nee. Het controleert alleen wachtwoorden. Als je wilt weten of een e-mailadres voorkomt in een bekend datalek, ga dan naar de website van Have I Been Pwned zelf.