担心某个密码可能已落入攻击者手中？请在上方输入密码，我们将使用 Have I Been Pwned 数据库，将其与在真实数据泄露中暴露的数亿个密码进行比对。此检测可保护隐私：您的密码会在您的浏览器中进行哈希处理，仅会发送该哈希值的前五个字符——您真正的密码绝不会离开您的设备。

什么是数据泄露？

当攻击者从某家公司或服务窃取信息时，便发生了数据泄露——窃取的信息通常包括用户名和密码。随后，这些凭据会被收集成庞大的列表，并在网上进行交易或公开发布。如果您使用的某个密码出现在这些列表中，则被视为「pwned」（已被攻破），攻击者会尝试用它登录您的其他账户，这种攻击称为credential stuffing（撞库攻击）。这就是为什么即便泄露并非源于您自身，一个已泄露的密码仍然十分危险。

此检测如何保护您的隐私

仅仅为了询问密码是否安全就将其发送到某个网站，这会背离初衷。因此，本工具采用了一种巧妙的技术，称为 k-anonymity（k 匿名技术）：

1. 您的密码会在您的浏览器内使用 SHA-1 进行哈希处理。
2. 仅会将该哈希值的前 5 个字符发送给 Have I Been Pwned API。
3. 该服务会返回所有共享这 5 个字符的已泄露哈希值——多达数百个。
4. 您的浏览器会在本地将完整哈希值与该列表进行比对，并显示结果。

该服务永远不会看到您的密码，永远不会看到其完整哈希值，也无法判断返回的条目中（如有）哪一个是您的。我方也不会存储任何内容。

如果发现了您的密码，该怎么办

• 在任何地方都停止使用它。在每个账户上都将其视为已被攻破。
• 在任何使用过它的账户上立即更改。
• 使用我们的密码生成器生成一个全新的、唯一的密码——长而随机的密码绝不会出现在这些列表中。
• 使用密码管理器，让每个账户都拥有各自独有的密码。
• 开启双因素身份验证（2FA），以增加一层额外的保护。

如果未发现您的密码意味着什么

「未发现」的结果令人安心——它意味着该密码不在 Have I Been Pwned 已知的泄露记录中。不过，这并不保证该密码足够强健。即便尚未泄露，一个简短或简单的密码仍可能被破解，因此也请使用我们的密码强度检测器进行检测。

常见问题

在这里输入我的密码安全吗？

安全。得益于 k-anonymity（k 匿名技术），您的密码会在本地进行哈希处理，仅会发送该哈希值的一个 5 字符片段。密码及其完整哈希值绝不会离开您的浏览器，并且不会存储任何内容。

泄露数据来自哪里？

来自 Have I Been Pwned，这是一项广受尊重的服务，它将在公开数据泄露中暴露的密码汇集成一个可搜索且保护隐私的数据库。

我的密码被发现了——这是否意味着我的账户已被入侵？

不一定，但这意味着该密码已为攻击者所知，使用起来并不安全。请在任何使用过它的地方更改密码，并改用唯一的、生成的密码。

「未发现」的结果是否意味着我的密码很强健？

不是。它只意味着该密码尚未出现在已知的泄露中。强度取决于长度和随机性——请使用强度检测器单独进行检测。