Descubra se uma senha já apareceu em vazamentos conhecidos, sem que ela saia do seu navegador.
Vazamentos de dados expõem bilhões de combinações de e-mail e senha todos os anos, e criminosos reaproveitam essas listas em ataques de credential stuffing, testando a mesma senha vazada em dezenas de outros serviços. Esta ferramenta consulta a base Pwned Passwords do Have I Been Pwned, mantida por Troy Hunt, que reúne mais de 900 milhões de senhas já vistas em vazamentos reais. A técnica usada, k-anonimato, é o que torna a consulta segura: sua senha é transformada em um hash SHA-1 dentro do próprio navegador, e só os 5 primeiros caracteres desse hash (de um total de 40) são enviados pela rede. A API devolve uma lista de algumas centenas de hashes que compartilham esse prefixo, e a comparação final, para saber se o hash completo da sua senha está nessa lista, acontece inteiramente no seu navegador. Diferente do Analisador de Força de Senha (que só estima teoricamente quão difícil uma senha seria de adivinhar), esta ferramenta responde uma pergunta objetiva: essa senha específica já apareceu em um vazamento real?
Cole o código no seu HTML e a ferramenta aparece na sua página, sem a navegação e sem os anúncios do J-Kit. Ela continua rodando no navegador de quem visita o seu site.
<iframe
src="https://jkit.tools/embed/pt-BR/verificador-senha-vazada"
width="100%"
height="600"
style="border:0"
loading="lazy"
title="Verificador de Senha Vazada"
></iframe>Estas referências ajudam a contextualizar fórmulas, padrões, APIs e limitações usadas nesta página. Elas não substituem validação profissional quando o resultado tiver impacto jurídico, financeiro, médico ou operacional.
Não. A senha inteira nunca sai do seu navegador. Ela é transformada em um hash SHA-1 localmente, e apenas os 5 primeiros caracteres desse hash (de 40 no total) são enviados à API do Have I Been Pwned. É matematicamente impossível reconstruir a senha original a partir desse prefixo.
A verificação usa a base Pwned Passwords do Have I Been Pwned, com bilhões de senhas de vazamentos reais. Sua senha é transformada em hash aqui mesmo, no seu navegador, e só um pedacinho do hash é consultado.
A senha é transformada em hash SHA-1 aqui mesmo, no seu dispositivo, usando a Web Crypto API do navegador. Só os 5 primeiros caracteres desse hash (não a senha, não o hash completo) são enviados à API. A API devolve todos os hashes que começam com esse prefixo, e a comparação com o hash completo acontece localmente, no seu navegador. Esse método é chamado k-anonimato e é o mesmo usado pelo site oficial do Have I Been Pwned.
Nenhuma senha ou hash completo é enviado, armazenado ou registrado pelo J-Kit. A consulta usa a API pública Pwned Passwords do Have I Been Pwned diretamente do seu navegador.