Senhas aleatórias com letras, dígitos e símbolos via crypto.getRandomValues.
Verificação de senha vazada (Pwned)
Rede: HIBPNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Verificação de senha vazada (Pwned)
O que ele faz
Verifique uma senha na lista Pwned Passwords do Have I Been Pwned sem enviá-la: seu navegador calcula o hash SHA-1 dela e pede apenas o prefixo de 5 caracteres desse hash.
Apenas os primeiros 5 caracteres do hash SHA-1 da senha são enviados para o Have I Been Pwned (api.pwnedpasswords.com); a senha em si nunca sai do navegador.
Como usar Verificação de senha vazada (Pwned)
- Escolha o que verificar. Em What to check, escolha A password (uma senha) ou Its SHA-1 hash (o hash SHA-1), se você só tiver o hash hexadecimal de 40 caracteres.
- Digite. Digite a senha no campo mascarado; Show a revela. Faça isso em um dispositivo de confiança.
- Faça a verificação. Clique em Check (verificar) ou pressione Enter. Seu navegador calcula o hash SHA-1 da senha e pede ao api.pwnedpasswords.com só os 5 primeiros caracteres desse hash.
- Leia o resultado. A caixa colorida diz Found, com uma contagem, ou Not found. Os três campos abaixo dela mostram o que foi enviado, quantos sufixos voltaram e se o seu hash coincidiu.
- Aja e limpe. Se a senha foi encontrada, troque-a em todos os lugares em que a usa e ative a autenticação de dois fatores. Clique em Clear para esvaziar o campo e o resultado.
Exemplo
Uma senha presente em todas as listas de vazamentos
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesEncontrada mais de 50 milhões de vezes. O único dado enviado é o prefixo do hash 5BAA6; o SHA-1 completo 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 é comparado no navegador.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| Found N times | O seu hash exato está N vezes no corpus de vazamentos do Pwned Passwords. Os atacantes testam essas senhas primeiro, então pare de usá-la em todos os lugares. |
| Not found | O hash não está no corpus. Uma senha curta ou previsível ainda pode ser adivinhada. |
| Sent to the service | O prefixo de 5 caracteres: a única parte do hash que sai do seu navegador. A requisição não leva cookies nem referenciador, mas o serviço vê o seu endereço IP, como em qualquer requisição na web. |
| Suffixes returned | Quantos sufixos de hash reais compartilham aquele prefixo, mais linhas de preenchimento com contagem 0 que a ferramenta solicita para que o tamanho da resposta não revele nada. |
| Matched in your browser | yes ou no: o restante do seu hash foi comparado com a lista retornada no seu dispositivo. |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f). | O modo de hash rejeitou a entrada e nada foi enviado. Maiúsculas ou minúsculas e espaços em volta do hash não são problema. |
| Could not reach api.pwnedpasswords.com | Você está offline, ou uma extensão ou um filtro de rede bloqueia a requisição. Nada foi verificado. |
| Too many requests to Pwned Passwords | O serviço respondeu HTTP 429. Espere alguns segundos e tente de novo. |
Mais exemplos
Uma das senhas mais comuns em vazamentos
123456Found 210.461.208 times (verificado em 22 de outubro de 2026). Sent to the service: 7C4A8. Matched in your browser: yes.
Uma frase-senha de exemplo famosa
correct horse battery stapleFound 391 times (verificado em 22 de outubro de 2026). Só ABF7A foi enviado. Uma frase longa que já foi publicada continua nas listas de vazamentos.
Um hash com um caractere a menos
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f). Nada é enviado.
Perguntas frequentes
O que exatamente é enviado ao Have I Been Pwned?
Só os 5 primeiros caracteres hexadecimais do hash SHA-1 da senha, por exemplo 5BAA6. O serviço responde com todos os sufixos de hash que começam com eles, mais linhas de preenchimento que escondem o tamanho real da resposta, e o seu navegador procura o restante do hash nessa lista.
Não encontrada significa que a senha é segura?
Não. Só significa que a senha não está no corpus de vazamentos do Pwned Passwords; uma senha curta ou previsível ainda pode ser adivinhada rapidamente. Um resultado encontrado é confiável, porque os atacantes testam primeiro as senhas das listas de vazamentos.
Posso verificar um hash em vez da senha?
Sim. Escolha Its SHA-1 hash e cole o hash hexadecimal de 40 caracteres; o mesmo prefixo de 5 caracteres é enviado. A página não armazena a senha nem o hash, e Clear esvazia o campo e o resultado.
O Have I Been Pwned consegue descobrir minha senha a partir do prefixo?
Não. Cada prefixo de 5 caracteres é compartilhado por muitos hashes, e a resposta sempre contém todos eles mais o preenchimento, então o serviço não consegue saber qual hash, se houver algum, é o seu.
Por que SHA-1, se o SHA-1 é considerado fraco?
O serviço de faixas do Pwned Passwords é organizado por hash SHA-1, então a consulta precisa usá-lo. Aqui o hash é só uma chave de consulta; a privacidade vem de enviar 5 dos seus 40 caracteres.
Por que a contagem é tão alta para algumas senhas?
A contagem é quantas vezes a senha aparece em todos os vazamentos do corpus, e escolhas comuns como 123456 foram usadas por milhões de contas diferentes. Qualquer contagem acima de zero significa que a senha já está nas listas dos atacantes.
Isto verifica se o meu endereço de e-mail foi vazado?
Não. Só verifica senhas. Para ver se um endereço de e-mail aparece em um vazamento conhecido, use o próprio site do Have I Been Pwned.