¿Te preocupa que una contraseña ya esté en manos de atacantes? Introdúcela arriba y la compararemos con cientos de millones de contraseñas expuestas en filtraciones de datos reales, usando la base de datos de Have I Been Pwned. La comprobación protege tu privacidad: tu contraseña se convierte en hash dentro de tu navegador y solo se envían los primeros cinco caracteres de ese hash; tu contraseña real nunca sale de tu dispositivo.

¿Qué es una filtración de datos?

Una filtración de datos ocurre cuando los atacantes roban información de una empresa o servicio, a menudo incluyendo nombres de usuario y contraseñas. Esas credenciales se recopilan en enormes listas y se comercian o se publican en internet. Si una contraseña que usas aparece en una de estas listas, se considera «pwned» (filtrada o comprometida), y los atacantes la probarán contra tus otras cuentas en lo que se conoce como credential stuffing (relleno de credenciales). Por eso una contraseña filtrada es peligrosa aunque la filtración no fuera tuya.

Cómo protege tu privacidad esta comprobación

No tendría sentido enviar tu contraseña a un sitio web solo para preguntar si es segura. En lugar de eso, esta herramienta utiliza una técnica ingeniosa llamada k-anonymity (anonimato por conjunto):

1. Tu contraseña se convierte en hash con SHA-1 dentro de tu navegador.
2. Solo se envían los primeros 5 caracteres de ese hash a la API de Have I Been Pwned.
3. El servicio devuelve todos los hashes filtrados que comparten esos 5 caracteres: cientos de ellos.
4. Tu navegador compara el hash completo con esa lista de forma local y muestra el resultado.

El servicio nunca ve tu contraseña, nunca ve su hash completo y no puede saber cuál de las entradas devueltas (si alguna) era la tuya. Tampoco se almacena nada en nuestro lado.

Qué hacer si tu contraseña aparece en la lista

• Deja de usarla en todas partes. Considérala comprometida en todas las cuentas.
• Cámbiala de inmediato en cualquier cuenta donde la hayas usado.
• Genera una nueva y única con nuestro generador de contraseñas: una contraseña larga y aleatoria nunca está en estas listas.
• Usa un gestor de contraseñas para que cada cuenta tenga su propia contraseña única.
• Activa la autenticación en dos factores (2FA) para una capa de protección adicional.

Qué significa si tu contraseña no aparece en la lista

Un resultado de «no encontrada» es tranquilizador: significa que la contraseña no está en las filtraciones que Have I Been Pwned conoce. Sin embargo, no es una garantía de que la contraseña sea fuerte. Una contraseña corta o sencilla puede descifrarse igualmente aunque todavía no se haya filtrado, así que compruébala también con nuestro comprobador de seguridad de contraseñas.

Preguntas frecuentes

¿Es seguro escribir mi contraseña aquí?

Sí. Tu contraseña se convierte en hash de forma local y solo se envía un fragmento de 5 caracteres de ese hash, gracias a la k-anonymity (anonimato por conjunto). La contraseña y su hash completo nunca salen de tu navegador, y no se almacena nada.

¿De dónde proceden los datos de filtraciones?

De Have I Been Pwned, un servicio de prestigio que agrega las contraseñas expuestas en filtraciones de datos públicas en una base de datos consultable y respetuosa con la privacidad.

Mi contraseña apareció en la lista: ¿significa que mi cuenta está hackeada?

No necesariamente, pero significa que esa contraseña es conocida por los atacantes y no es seguro usarla. Cámbiala en cualquier sitio donde la hayas usado y pásate a una contraseña única y generada.

¿Un resultado de «no encontrada» significa que mi contraseña es fuerte?

No. Solo significa que la contraseña no ha aparecido en una filtración conocida. La fortaleza depende de la longitud y la aleatoriedad: comprueba eso por separado con el comprobador de seguridad.