Temi che una password sia già nelle mani di malintenzionati? Inseriscila qui sopra e la confronteremo con centinaia di milioni di password esposte in violazioni di dati reali, utilizzando il database Have I Been Pwned. La verifica tutela la privacy: la tua password viene sottoposta ad hashing nel tuo browser e vengono inviati solo i primi cinque caratteri di quell'hash: la tua password effettiva non lascia mai il tuo dispositivo.

Che cos'è una violazione di dati?

Una violazione di dati si verifica quando i malintenzionati sottraggono informazioni a un'azienda o a un servizio, spesso compresi nomi utente e password. Queste credenziali vengono poi raccolte in enormi elenchi e scambiate o pubblicate online. Se una password che utilizzi compare in uno di questi elenchi, è considerata "pwned", e i malintenzionati la proveranno sui tuoi altri account in quello che viene chiamato credential stuffing. Ecco perché una password compromessa è pericolosa anche se la violazione non ha riguardato te.

Come questa verifica protegge la tua privacy

Inviare la tua password a un sito web solo per chiedere se è sicura vanificherebbe lo scopo. Questo strumento utilizza invece una tecnica ingegnosa chiamata k-anonymity:

1. La tua password viene sottoposta ad hashing con SHA-1 all'interno del tuo browser.
2. Solo i primi 5 caratteri di quell'hash vengono inviati all'API di Have I Been Pwned.
3. Il servizio restituisce tutti gli hash compromessi che condividono quei 5 caratteri: centinaia di essi.
4. Il tuo browser confronta l'hash completo con quell'elenco localmente e mostra il risultato.

Il servizio non vede mai la tua password, non vede mai il suo hash completo e non può sapere quale delle voci restituite (se presente) fosse la tua. Nulla viene memorizzato nemmeno da parte nostra.

Cosa fare se la tua password è stata trovata

• Smetti di usarla ovunque. Consideralo compromessa su ogni account.
• Cambiala immediatamente su qualsiasi account in cui l'hai utilizzata.
• Generane una nuova e unica con il nostro generatore di password: una password lunga e casuale non è mai presente in questi elenchi.
• Usa un gestore di password in modo che ogni account abbia la sua password unica.
• Attiva l'autenticazione a due fattori (2FA) per un ulteriore livello di protezione.

Cosa significa se la tua password non è stata trovata

Un risultato "non trovata" è rassicurante: significa che la password non è presente nelle violazioni note a Have I Been Pwned. Non è però una garanzia che la password sia robusta. Una password breve o semplice può comunque essere violata anche se non è ancora trapelata, quindi verificala anche con il nostro verificatore della robustezza delle password.

Domande frequenti

È sicuro digitare qui la mia password?

Sì. La tua password viene sottoposta ad hashing localmente e viene inviato solo un frammento di 5 caratteri di quell'hash, grazie alla k-anonymity. La password e il suo hash completo non lasciano mai il tuo browser e nulla viene memorizzato.

Da dove provengono i dati sulle violazioni?

Da Have I Been Pwned, un servizio autorevole che aggrega le password esposte in violazioni di dati pubbliche in un database consultabile e rispettoso della privacy.

La mia password è stata trovata: significa che il mio account è stato violato?

Non necessariamente, ma significa che quella password è nota ai malintenzionati e non è sicura da usare. Cambiala ovunque l'hai utilizzata e passa a una password unica e generata.

Un risultato "non trovata" significa che la mia password è robusta?

No. Significa solo che la password non è comparsa in una violazione nota. La robustezza dipende dalla lunghezza e dalla casualità: verificala separatamente con il verificatore della robustezza.