Losowe hasła złożone z liter, cyfr i znaków specjalnych generowane za pomocą funkcji crypto.getRandomValues.
Sprawdź, czy hasło zostało zhakowane
Sieć: HIBPNowe
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Sprawdź, czy hasło zostało zhakowane
Jak to działa
Sprawdź hasło na liście „Pwned Passwords” serwisu Have I Been Pwned bez wysyłania go: przeglądarka generuje jego skrót za pomocą algorytmu SHA-1 i prosi jedynie o 5-znakowy prefiks tego skrótu.
Do serwisu Have I Been Pwned (api.pwnedpasswords.com) przesyłanych jest jedynie pierwszych 5 znaków skrótu SHA-1 hasła; samo hasło nigdy nie opuszcza przeglądarki.
Jak korzystać z Sprawdź, czy hasło zostało zhakowane
- Wybierz, co chcesz sprawdzić. W sekcji „Co sprawdzić” wybierz opcję „Hasło” lub „Jego skrót SHA-1”, jeśli dysponujesz jedynie 40-znakowym skrótem w formacie szesnastkowym.
- Wpisz to. Wpisz hasło w polu z maską; po kliknięciu przycisku „Pokaż” zostanie ono ujawnione. Zrób to na urządzeniu, któremu ufasz.
- Przeprowadź kontrolę. Naciśnij klawisz Check lub Enter. Twoja przeglądarka generuje skrót hasła za pomocą algorytmu SHA-1 i wysyła do serwisu api.pwnedpasswords.com jedynie pierwsze 5 znaków tego skrótu.
- Zobacz wynik. W kolorowym polu widnieje komunikat „Znaleziono” wraz z liczbą wyników lub „Nie znaleziono”. Trzy pola poniżej pokazują, co zostało wysłane, ile sufiksów otrzymano w odpowiedzi oraz czy Twój hash się zgadzał.
- Działaj i wyczyść. Jeśli hasło zostało odnajdowane, zmień je wszędzie tam, gdzie go używasz, i włącz uwierzytelnianie dwuskładnikowe. Naciśnij przycisk „Wyczyść”, aby wyczyścić pole i usunąć wynik.
Przykład
Hasło z każdej listy ujawnionych danych
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesWystępuje ponad 50 milionów razy. Przesyłane są wyłącznie dane w postaci prefiksu skrótu 5BAA6; pełny skrót SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 jest porównywany w przeglądarce.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Znaleziono N razy | Twój dokładny hash pojawia się N razy w zbiorze danych dotyczących wycieku haseł „Pwned Passwords”. Atakujący najpierw próbują takich haseł, więc przestań go używać wszędzie. |
| Nie znaleziono | Skrót nie występuje w zbiorze danych. Krótkie lub łatwe do odgadnięcia hasło nadal można odgadnąć. |
| Przesłano do serwisu | 5-znakowy prefiks: jedyna część skrótu, która opuszcza przeglądarkę. Żądanie nie zawiera plików cookie ani odnośnika, ale serwis widzi adres IP użytkownika, tak jak w przypadku każdego żądania internetowego. |
| Zwrócone przyrostki | Ile rzeczywistych sufiksów skrótu ma ten sam prefiks, wraz z wierszami wypełniającymi o liczbie 0, których narzędzie wymaga, aby rozmiar odpowiedzi nie zdradzał żadnych informacji. |
| Dopasowano w przeglądarce | tak lub nie: pozostała część twojego skrótu została porównana z listą zwróconą na twoim urządzeniu. |
| Suma kontrolna SHA-1 składa się dokładnie z 40 znaków szesnastkowych (0–9, a–f). | Tryb # odrzucił dane wejściowe i nic nie zostało wysłane. Wielkość liter oraz spacje przed i po znaku # nie mają znaczenia. |
| Nie udało się połączyć z witryną api.pwnedpasswords.com | Jesteś w trybie offline lub żądanie jest blokowane przez rozszerzenie lub filtr sieciowy. Nie zaznaczono żadnej opcji. |
| Zbyt wiele zapytań dotyczących serwisu Pwned Passwords | Serwis zwrócił kod błędu HTTP 429. Odczekaj kilka sekund i spróbuj ponownie. |
Więcej przykładów
Hasło z czołówki listy najczęściej wykorzystywanych do włamań
123456Wystąpiło 210 461 208 razy (stan na 22 października 2026 r.). Przesłano do serwisu: 7C4A8. Znajduje się w przeglądarce: tak.
Znany przykład hasła
correct horse battery stapleWystępuje 391 razy (stan na 22 października 2026 r.). Przesłano jedynie ABF7A. Długa fraza, która została opublikowana, nadal znajduje się na listach naruszeń.
Skrót o jeden znak krótszy
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941Suma kontrolna SHA-1 składa się dokładnie z 40 znaków szesnastkowych (0–9, a–f). Nie wysyła się niczego.
Najczęściej zadawane pytania
Co dokładnie jest przesyłane do serwisu „Have I Been Pwned”?
Tylko pierwsze 5 znaków szesnastkowych skrótu SHA-1 hasła, na przykład 5BAA6. Serwis zwraca listę wszystkich końcówek skrótów, które zaczynają się od tych znaków, wraz z wierszami wypełniającymi, które ukrywają rzeczywistą wielkość odpowiedzi, a przeglądarka wyszukuje pozostałą część skrótu na tej liście.
Czy brak wyników oznacza, że hasło jest bezpieczne?
Nie. Oznacza to jedynie, że hasło nie znajduje się w zbiorze danych dotyczących wycieków przechowywanym przez serwis Pwned Passwords; krótkie lub łatwe do odgadnięcia hasło nadal może zostać szybko odgadnięte. Wynik wyszukiwania jest wiarygodny, ponieważ osoby atakujące najpierw próbują haseł z list wycieków.
Czy mogę sprawdzić skrót zamiast hasła?
Tak. Wybierz opcję „SHA-1 hash” i wklej 40-znakowy szesnastkowy skrót; wysyłany jest ten sam 5-znakowy prefiks. Strona nie przechowuje hasła ani skrótu, a przycisk „Clear” usuwa zawartość pola i wynik.
Czy serwis „Have I Been Pwned” może odgadnąć moje hasło na podstawie przedrostka?
Nie. Każdy 5-znakowy prefiks jest wspólny dla wielu skrótów, a odpowiedź zawsze zawiera je wszystkie wraz z wypełnieniem, więc serwis nie jest w stanie stwierdzić, który skrót – o ile w ogóle któryś – należy do Ciebie.
Dlaczego SHA-1, skoro uważa się, że SHA-1 jest słabym algorytmem?
Usługa Pwned Passwords jest uporządkowana według skrótów SHA-1, więc podczas wyszukiwania należy z nich korzystać. W tym przypadku skrót służy wyłącznie jako klucz do wyszukiwania; poufność wynika z faktu, że przesyłanych jest tylko 5 z 40 znaków tego skrótu.
Dlaczego w przypadku niektórych haseł liczba ta jest tak wysoka?
Liczba ta określa, jak często dane hasło pojawia się we wszystkich przypadkach naruszeń bezpieczeństwa zawartych w korpusie, a popularne hasła, takie jak „123456”, były używane przez miliony odrębnych kont. Każda liczba większa od zera oznacza, że hasło to znajduje się już na listach atakujących.
Czy ta funkcja sprawdza, czy mój adres e-mail został ujawniony w wyniku naruszenia bezpieczeństwa?
Nie. Sprawdza wyłącznie hasła. Aby sprawdzić, czy dany adres e-mail figuruje w bazie znanych wycieków danych, należy skorzystać z samej strony internetowej Have I Been Pwned.