Bang dat een wachtwoord al in handen van aanvallers is? Voer het hierboven in en wij controleren het tegen honderden miljoenen wachtwoorden die in echte datalekken zijn vrijgekomen, met behulp van de Have I Been Pwned-database. De controle is privacyvriendelijk: je wachtwoord wordt in je browser gehasht en alleen de eerste vijf tekens van die hash worden ooit verzonden — je werkelijke wachtwoord verlaat nooit je apparaat.

Wat is een datalek?

Een datalek treedt op wanneer aanvallers informatie stelen van een bedrijf of dienst — vaak inclusief gebruikersnamen en wachtwoorden. Die inloggegevens worden vervolgens verzameld in enorme lijsten en online verhandeld of gepubliceerd. Als een wachtwoord dat je gebruikt in een van deze lijsten voorkomt, wordt het beschouwd als "pwned", en aanvallers zullen het uitproberen op je andere accounts in wat credential stuffing wordt genoemd. Daarom is een gelekt wachtwoord gevaarlijk, zelfs als het lek niet bij jou was.

Hoe deze controle je privacy beschermt

Het zou het doel voorbijschieten om je wachtwoord naar een website te sturen alleen maar om te vragen of het veilig is. In plaats daarvan gebruikt deze tool een slimme techniek genaamd k-anonymity:

1. Je wachtwoord wordt met SHA-1 gehasht in je browser.
2. Alleen de eerste 5 tekens van die hash worden naar de Have I Been Pwned-API verzonden.
3. De dienst retourneert elke gelekte hash die diezelfde 5 tekens deelt — honderden ervan.
4. Je browser controleert de volledige hash tegen die lijst lokaal en toont het resultaat.

De dienst ziet nooit je wachtwoord, ziet nooit de volledige hash, en kan niet bepalen welke van de geretourneerde vermeldingen (indien aanwezig) de jouwe was. Er wordt aan onze kant ook niets opgeslagen.

Wat te doen als je wachtwoord werd gevonden

• Stop overal met het gebruik ervan. Beschouw het als gecompromitteerd op elk account.
• Wijzig het onmiddellijk op elk account waar je het hebt gebruikt.
• Genereer een nieuw, uniek wachtwoord met onze wachtwoordgenerator — een lang, willekeurig wachtwoord staat nooit op deze lijsten.
• Gebruik een wachtwoordmanager zodat elk account zijn eigen unieke wachtwoord krijgt.
• Schakel tweefactorauthenticatie (2FA) in voor een extra beschermingslaag.

Wat het betekent als je wachtwoord niet werd gevonden

Een "niet gevonden"-resultaat is geruststellend — het betekent dat het wachtwoord niet voorkomt in de datalekken die Have I Been Pwned kent. Het is geen garantie dat het wachtwoord sterk is. Een kort of eenvoudig wachtwoord kan nog steeds worden gekraakt, zelfs als het nog niet is gelekt, dus controleer het ook met onze wachtwoordsterkte-checker.

Veelgestelde vragen

Is het veilig om mijn wachtwoord hier in te typen?

Ja. Je wachtwoord wordt lokaal gehasht en alleen een fragment van 5 tekens van die hash wordt verzonden, dankzij k-anonymity. Het wachtwoord en de volledige hash verlaten nooit je browser, en er wordt niets opgeslagen.

Waar komen de datalekgegevens vandaan?

Van Have I Been Pwned, een gerespecteerde dienst die wachtwoorden die in openbare datalekken zijn vrijgekomen samenbrengt in een doorzoekbare, privacyvriendelijke database.

Mijn wachtwoord werd gevonden — betekent dat dat mijn account gehackt is?

Niet noodzakelijk, maar het betekent wel dat dat wachtwoord bekend is bij aanvallers en onveilig is om te gebruiken. Wijzig het overal waar je het hebt gebruikt en stap over op een uniek, gegenereerd wachtwoord.

Betekent een "niet gevonden"-resultaat dat mijn wachtwoord sterk is?

Nee. Het betekent alleen dat het wachtwoord niet is voorgekomen in een bekend datalek. Sterkte hangt af van lengte en willekeur — controleer dat apart met de sterkte-checker.