Случайные пароли из букв, цифр и символов через crypto.getRandomValues.
Проверка пароля на утечки (HIBP)
Сеть: HIBPНовый
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Проверка пароля на утечки (HIBP)
Для чего это нужно
Проверьте пароль по списку Pwned Passwords сервиса Have I Been Pwned, не отправляя его: ваш браузер хеширует его по SHA-1 и запрашивает только 5-символьный префикс этого хеша.
На сайт Have I Been Pwned (api.pwnedpasswords.com) отправляются только первые 5 символов хеша SHA-1 пароля; сам пароль никогда не покидает браузер.
Как использовать Проверка пароля на утечки (HIBP)
- Выберите, что проверять. В разделе What to check выберите A password или Its SHA-1 hash, если у вас есть только 40-символьный хеш в hex.
- Введите его. Введите пароль в скрытое поле; Show показывает его. Делайте это на устройстве, которому доверяете.
- Запустите проверку. Нажмите Check или Enter. Ваш браузер хеширует пароль по SHA-1 и запрашивает у api.pwnedpasswords.com только первые 5 символов этого хеша.
- Прочитайте результат. Цветной блок показывает Found с числом или Not found. Три поля под ним показывают, что было отправлено, сколько суффиксов вернулось и совпал ли ваш хеш.
- Действуйте и очистите. Если пароль найден, смените его везде, где используете, и включите двухфакторную аутентификацию. Нажмите Clear, чтобы очистить поле и результат.
Пример
Пароль из всех списков утечек
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesНайден более 50 миллионов раз. Отправляется только префикс хеша 5BAA6; полный SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 сопоставляется в браузере.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| Found N times (найден N раз) | Ваш точный хеш встречается в базе утечек Pwned Passwords N раз. Злоумышленники пробуют такие пароли первыми, поэтому перестаньте использовать его везде. |
| Not found (не найден) | Хеша нет в базе. Короткий или предсказуемый пароль всё равно можно подобрать. |
| Sent to the service (отправлено сервису) | 5-символьный префикс — единственная часть хеша, которая покидает ваш браузер. Запрос не содержит cookie и referrer, но сервис видит ваш IP-адрес, как и при любом веб-запросе. |
| Suffixes returned (возвращено суффиксов) | Сколько настоящих суффиксов хешей имеют этот префикс, плюс строки-заполнители со счётчиком 0, которые инструмент запрашивает, чтобы размер ответа ничего не выдавал. |
| Matched in your browser (совпадение в вашем браузере) | yes или no: остаток вашего хеша сравнивался с полученным списком на вашем устройстве. |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f). (В хеше SHA-1 ровно 40 hex-символов.) | Режим хеша отклонил ввод, и ничего не было отправлено. Заглавные или строчные буквы и пробелы вокруг хеша допустимы. |
| Could not reach api.pwnedpasswords.com (нет связи с сервисом) | Вы не в сети либо расширение или сетевой фильтр блокирует запрос. Ничего не проверено. |
| Too many requests to Pwned Passwords (слишком много запросов) | Сервис ответил HTTP 429. Подождите несколько секунд и попробуйте снова. |
Еще примеры
Пароль из верхушки списков утечек
123456Found 210,461,208 times (проверено 22 октября 2026 года). Sent to the service: 7C4A8. Matched in your browser: yes.
Известная парольная фраза-пример
correct horse battery stapleFound 391 times (проверено 22 октября 2026 года). Отправлен только ABF7A. Длинная фраза, которая была опубликована, всё равно оказывается в списках утечек.
Хеш на один символ короче
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f). Ничего не отправляется.
Часто задаваемые вопросы
Что именно отправляется в Have I Been Pwned?
Только первые 5 шестнадцатеричных символов хеша SHA-1 пароля, например 5BAA6. Сервис отвечает списком всех суффиксов хешей, которые начинаются с них, плюс строками-заполнителями, скрывающими настоящий размер ответа, а ваш браузер ищет в этом списке остаток хеша.
Значит ли «не найден», что пароль безопасен?
Нет. Это лишь значит, что пароля нет в базе утечек Pwned Passwords; короткий или предсказуемый пароль всё равно можно быстро подобрать. Результат «найден» надёжен, потому что злоумышленники в первую очередь пробуют пароли из списков утечек.
Можно ли проверить хеш вместо пароля?
Да. Выберите Its SHA-1 hash и вставьте 40-символьный хеш в hex; отправляется тот же 5-символьный префикс. Страница не сохраняет ни пароль, ни хеш, а Clear очищает поле и результат.
Может ли Have I Been Pwned вычислить мой пароль по префиксу?
Нет. Каждый 5-символьный префикс общий для многих хешей, и ответ всегда содержит их все плюс заполнители, поэтому сервис не может определить, какой из хешей ваш и есть ли он там вообще.
Почему SHA-1, если SHA-1 считается слабым?
Сервис диапазонов Pwned Passwords организован по хешам SHA-1, поэтому поиск должен его использовать. Здесь хеш — лишь ключ поиска; конфиденциальность обеспечивается тем, что отправляются 5 из 40 его символов.
Почему у некоторых паролей такое большое число?
Число показывает, сколько раз пароль встречается во всех утечках, собранных в базе, а распространённые варианты вроде 123456 использовались миллионами отдельных аккаунтов. Любое число больше нуля означает, что пароль уже есть в списках злоумышленников.
Проверяет ли это мой адрес электронной почты на утечки?
Нет. Проверяются только пароли. Чтобы узнать, встречается ли адрес электронной почты в известной утечке, воспользуйтесь самим сайтом Have I Been Pwned.