Receia que uma palavra-passe possa já estar nas mãos de atacantes? Introduza-a acima e iremos compará-la com centenas de milhões de palavras-passe expostas em fugas de dados reais, utilizando a base de dados Have I Been Pwned. A verificação preserva a privacidade: a sua palavra-passe é convertida em hash no seu navegador e apenas os primeiros cinco caracteres desse hash são enviados — a sua palavra-passe real nunca sai do seu dispositivo.

O que é uma fuga de dados?

Uma fuga de dados ocorre quando atacantes roubam informação de uma empresa ou serviço — frequentemente incluindo nomes de utilizador e palavras-passe. Essas credenciais são depois reunidas em listas enormes e trocadas ou publicadas online. Se uma palavra-passe que utiliza surgir numa destas listas, considera-se que foi "pwned", e os atacantes irão experimentá-la nas suas outras contas naquilo a que se chama credential stuffing. É por isso que uma palavra-passe comprometida é perigosa mesmo que a fuga não tenha sido sua.

Como esta verificação protege a sua privacidade

Não faria sentido enviar a sua palavra-passe para um site apenas para perguntar se é segura. Em vez disso, esta ferramenta utiliza uma técnica engenhosa chamada k-anonymity:

1. A sua palavra-passe é convertida em hash com SHA-1 dentro do seu navegador.
2. Apenas os primeiros 5 caracteres desse hash são enviados para a API do Have I Been Pwned.
3. O serviço devolve todos os hashes comprometidos que partilham esses 5 caracteres — centenas deles.
4. O seu navegador compara o hash completo com essa lista localmente e mostra o resultado.

O serviço nunca vê a sua palavra-passe, nunca vê o seu hash completo e não consegue determinar qual das entradas devolvidas (se alguma) era a sua. Também não é armazenado nada do nosso lado.

O que fazer se a sua palavra-passe foi encontrada

• Deixe de a utilizar em todo o lado. Trate-a como comprometida em todas as contas.
• Altere-a imediatamente em qualquer conta onde a tenha utilizado.
• Gere uma nova, única com o nosso gerador de palavras-passe — uma palavra-passe longa e aleatória nunca está nestas listas.
• Utilize um gestor de palavras-passe para que cada conta tenha a sua própria palavra-passe única.
• Ative a autenticação de dois fatores (2FA) para uma camada adicional de proteção.

O que significa se a sua palavra-passe não foi encontrada

Um resultado "não encontrada" é tranquilizador — significa que a palavra-passe não está nas fugas que o Have I Been Pwned conhece. Não é, porém, uma garantia de que a palavra-passe é forte. Uma palavra-passe curta ou simples pode ainda assim ser descoberta mesmo que ainda não tenha vazado, por isso verifique-a também com o nosso verificador de força de palavras-passe.

Perguntas frequentes

É seguro escrever a minha palavra-passe aqui?

Sim. A sua palavra-passe é convertida em hash localmente e apenas um fragmento de 5 caracteres desse hash é enviado, graças à k-anonymity. A palavra-passe e o seu hash completo nunca saem do seu navegador, e nada é armazenado.

De onde vêm os dados das fugas?

De Have I Been Pwned, um serviço respeitado que agrega palavras-passe expostas em fugas de dados públicas numa base de dados pesquisável que preserva a privacidade.

A minha palavra-passe foi encontrada — significa isso que a minha conta foi pirateada?

Não necessariamente, mas significa que essa palavra-passe é conhecida pelos atacantes e não é segura de utilizar. Altere-a em qualquer lugar onde a tenha utilizado e mude para uma palavra-passe única e gerada.

Um resultado "não encontrada" significa que a minha palavra-passe é forte?

Não. Significa apenas que a palavra-passe não surgiu numa fuga conhecida. A força depende do comprimento e da aleatoriedade — verifique isso separadamente com o verificador de força.