Mật khẩu ngẫu nhiên bao gồm chữ cái, chữ số và ký hiệu thông qua hàm crypto.getRandomValues.
Kiểm tra mật khẩu đã bị lộ
Mạng: HIBPMới
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Kiểm tra mật khẩu đã bị lộ
Chức năng của nó là gì?
Kiểm tra mật khẩu dựa trên danh sách “Pwned Passwords” của Have I Been Pwned mà không cần gửi mật khẩu: trình duyệt của bạn sẽ mã hóa mật khẩu bằng thuật toán SHA-1 và chỉ yêu cầu 5 ký tự đầu tiên của mã băm đó.
Chỉ 5 ký tự đầu tiên của giá trị băm SHA-1 của mật khẩu mới được gửi đến Have I Been Pwned (api.pwnedpasswords.com); bản thân mật khẩu không bao giờ rời khỏi trình duyệt.
Cách sử dụng Kiểm tra mật khẩu đã bị lộ
- Chọn những mục cần kiểm tra. Trong phần “Cần kiểm tra gì”, hãy chọn “Mật khẩu” hoặc “Giá trị băm SHA-1 của mật khẩu” nếu bạn chỉ có giá trị băm hex gồm 40 ký tự.
- Hãy nhập vào đây. Nhập mật khẩu vào ô có ký hiệu che; nhấn “Hiển thị” để xem mật khẩu. Hãy thực hiện thao tác này trên một thiết bị mà bạn tin tưởng.
- Thực hiện kiểm tra. Nhấn phím Check hoặc Enter. Trình duyệt của bạn sẽ mã hóa mật khẩu bằng thuật toán SHA-1 và chỉ yêu cầu api.pwnedpasswords.com cung cấp 5 ký tự đầu tiên của giá trị băm đó.
- Xem kết quả. Hộp màu sẽ hiển thị thông báo “Đã tìm thấy” kèm theo số lượng, hoặc “Không tìm thấy”. Ba ô bên dưới hiển thị những gì đã được gửi đi, số lượng hậu tố nhận được và liệu hàm băm của bạn có khớp hay không.
- Thực hiện và xóa. Nếu mật khẩu đã bị phát hiện, hãy thay đổi mật khẩu đó ở mọi nơi bạn sử dụng và bật tính năng xác thực hai yếu tố. Nhấn “Xóa” để xóa nội dung trong ô và kết quả.
Ví dụ
Một mật khẩu từ mỗi danh sách rò rỉ dữ liệu
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesĐã tìm thấy hơn 50 triệu lần. Dữ liệu duy nhất được gửi là tiền tố băm 5BAA6; giá trị SHA-1 đầy đủ 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 được so khớp trong trình duyệt.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Đã tìm thấy N lần | Mã băm chính xác của bạn xuất hiện N lần trong cơ sở dữ liệu rò rỉ mật khẩu Pwned Passwords. Kẻ tấn công thường thử những mật khẩu như vậy trước tiên, vì vậy hãy ngừng sử dụng mật khẩu này ở mọi nơi. |
| Không tìm thấy | Giá trị băm này không có trong cơ sở dữ liệu. Một mật khẩu quá ngắn hoặc dễ đoán vẫn có thể bị đoán ra. |
| Đã gửi đến bộ phận dịch vụ | Tiền tố gồm 5 ký tự: phần duy nhất của mã băm được truyền ra khỏi trình duyệt của bạn. Yêu cầu này không chứa cookie cũng như thông tin nguồn truy cập, nhưng dịch vụ vẫn nhận diện được địa chỉ IP của bạn, giống như bất kỳ yêu cầu web nào khác. |
| Các hậu tố được trả về | Có bao nhiêu hậu tố băm thực sự có chung tiền tố đó, cộng với các hàng lấp đầy có số lượng bằng 0 mà công cụ yêu cầu, để kích thước của kết quả không tiết lộ bất kỳ thông tin nào. |
| Được hiển thị trong trình duyệt của bạn | Có hay không: phần còn lại của chuỗi băm của bạn đã được so sánh với danh sách được trả về trên thiết bị của bạn. |
| Một giá trị băm SHA-1 có chính xác 40 ký tự thập lục phân (0-9, a-f). | Chế độ băm đã từ chối dữ liệu đầu vào và không có dữ liệu nào được gửi đi. Viết hoa hay viết thường và các khoảng trắng xung quanh dấu băm đều được chấp nhận. |
| Không thể kết nối với api.pwnedpasswords.com | Bạn đang ở chế độ ngoại tuyến, hoặc một tiện ích mở rộng hoặc bộ lọc mạng đang chặn yêu cầu này. Chưa có mục nào được chọn. |
| Có quá nhiều yêu cầu gửi đến Pwned Passwords | Dịch vụ đã trả về mã trạng thái HTTP 429. Vui lòng đợi vài giây rồi thử lại. |
Các ví dụ khác
Một mật khẩu nằm trong danh sách các mật khẩu dễ bị tấn công nhất
123456Đã tìm thấy 210.461.208 lần (kiểm tra vào ngày 22 tháng 10 năm 2026). Đã gửi đến dịch vụ: 7C4A8. Đã khớp trong trình duyệt của bạn: có.
Một ví dụ nổi tiếng về cụm mật khẩu
correct horse battery stapleĐã tìm thấy 391 lần (kiểm tra vào ngày 22 tháng 10 năm 2026). Chỉ có ABF7A được gửi đi. Một cụm từ dài đã được công bố vẫn còn nằm trong danh sách các trường hợp vi phạm.
Một hàm băm thiếu một ký tự
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941Một giá trị băm SHA-1 có chính xác 40 ký tự thập lục phân (0-9, a-f). Không có dữ liệu nào được gửi đi.
Câu hỏi thường gặp
Chính xác thì những thông tin nào được gửi đến Have I Been Pwned?
Chỉ 5 ký tự thập lục phân đầu tiên của hàm băm SHA-1 của mật khẩu, ví dụ như 5BAA6. Dịch vụ sẽ trả về tất cả các phần đuôi của hàm băm bắt đầu bằng các ký tự đó, kèm theo các hàng lấp đầy nhằm che giấu kích thước thực sự của kết quả trả về, và trình duyệt của bạn sẽ tìm kiếm phần còn lại của hàm băm trong danh sách đó.
“Không tìm thấy” có nghĩa là mật khẩu an toàn không?
Không. Điều đó chỉ có nghĩa là mật khẩu đó không có trong cơ sở dữ liệu các vụ rò rỉ mà Pwned Passwords lưu trữ; một mật khẩu ngắn hoặc dễ đoán vẫn có thể bị đoán ra nhanh chóng. Kết quả tìm thấy là đáng tin cậy, bởi vì những kẻ tấn công thường thử các mật khẩu từ danh sách các vụ rò rỉ trước tiên.
Tôi có thể kiểm tra mã băm thay vì mật khẩu không?
Đúng vậy. Hãy chọn “Its SHA-1 hash” và dán mã băm hex gồm 40 ký tự; tiền tố gồm 5 ký tự đó sẽ được gửi đi. Trang web không lưu trữ mật khẩu hay mã băm, và nút “Clear” sẽ xóa sạch trường nhập và kết quả.
Liệu Have I Been Pwned có thể đoán được mật khẩu của tôi chỉ dựa vào phần đầu của mật khẩu không?
Không. Mỗi tiền tố gồm 5 ký tự đều được sử dụng chung cho nhiều giá trị băm, và phản hồi luôn chứa tất cả các tiền tố đó cùng với phần bổ sung, do đó dịch vụ không thể xác định được giá trị băm nào (nếu có) là của bạn.
Tại sao lại dùng SHA-1, trong khi SHA-1 được coi là không an toàn?
Dịch vụ danh sách mật khẩu bị lộ (Pwned Passwords) được sắp xếp theo hàm băm SHA-1, do đó quá trình tra cứu phải sử dụng hàm băm này. Ở đây, hàm băm chỉ đóng vai trò là khóa tra cứu; tính bảo mật được đảm bảo bằng cách chỉ gửi 5 trong số 40 ký tự của nó.
Tại sao số lần xuất hiện của một số mật khẩu lại cao đến vậy?
Số lần xuất hiện là tần suất mật khẩu đó xuất hiện trong tất cả các vụ rò rỉ dữ liệu có trong tập dữ liệu, và những lựa chọn phổ biến như 123456 đã được sử dụng bởi hàng triệu tài khoản riêng biệt. Bất kỳ số lần xuất hiện nào lớn hơn 0 đều có nghĩa là mật khẩu đó đã có trong danh sách của những kẻ tấn công.
Tính năng này có kiểm tra xem địa chỉ email của tôi có bị rò rỉ thông tin hay không?
Không. Công cụ này chỉ kiểm tra mật khẩu thôi. Để xem liệu một địa chỉ email có xuất hiện trong danh sách các vụ rò rỉ dữ liệu đã biết hay không, hãy truy cập trực tiếp trang web Have I Been Pwned.