¿Contraseña filtrada? Compruébelo con Have I Been Pwned
Compruebe si una contraseña aparece en filtraciones de datos conocidas sin enviarla: solo 5 caracteres de su huella SHA-1 salen del navegador.
Cómo saber si una contraseña se ha filtrado sin revelarla
La herramienta calcula en su navegador la huella SHA-1 de la contraseña, envía sus 5 primeros caracteres hexadecimales al servicio Pwned Passwords y compara en local la lista recibida. Si la huella completa figura en ella, la contraseña ha circulado en al menos una filtración y la herramienta indica cuántas veces se ha visto.
Cómo funciona el k-anonimato
Una huella SHA-1 tiene 40 caracteres hexadecimales. El servicio solo recibe los 5 primeros (el prefijo) y devuelve todos los sufijos conocidos que empiezan así, cada uno con su número de apariciones. Con la cabecera Add-Padding: true, la respuesta se completa con líneas ficticias de recuento 0 hasta contener entre 800 y 1000 entradas: ni siquiera su tamaño delata el prefijo. La herramienta descarta esas líneas y busca el sufijo en su dispositivo. La contraseña no se guarda, no se incluye en ninguna dirección y no se transmite a ninguna herramienta de analítica.
Ejemplo
La huella de «password» es 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. Solo se envía 5BAA6; la respuesta contiene la línea 1E4C9B93F3F0682250B6CF8331B7EE68FD8:52372427, es decir, más de 52 millones de apariciones el 14/10/2026.
Límites
- Un resultado negativo solo significa que la contraseña no está en las filtraciones recopiladas por Have I Been Pwned. No indica su robustez: para eso, el auditor de entropía del sitio estima el tiempo necesario para adivinarla.
- La base crece con cada nueva filtración; una contraseña ausente hoy puede aparecer mañana.
- El NIST recomienda rechazar cualquier contraseña presente en una lista de filtraciones, aunque parezca compleja.
Fuentes y fechas: documentación de la API de Have I Been Pwned (búsqueda por rango, relleno), servicio de Troy Hunt, sin requisito de licencia para Pwned Passwords; NIST SP 800-63B, lista de bloqueo de contraseñas comprometidas (verificado el 14/10/2026)
Preguntas frecuentes
¿Cómo saber si han hackeado mi contraseña?
Escríbala en la herramienta: se compara con las contraseñas de las filtraciones recopiladas por Have I Been Pwned. Un resultado «vista N veces» significa que ya circula en listas que usan los atacantes. Solo se envían 5 caracteres de su huella SHA-1.
¿Qué hago si mi contraseña aparece en una filtración?
Cámbiela en todas las cuentas donde la use, empezando por el correo electrónico, porque permite restablecer todas las demás. Use una contraseña distinta para cada sitio, idealmente creada por un gestor de contraseñas, y active la verificación en dos pasos.
Mi contraseña no aparece: ¿es segura?
No necesariamente. No figurar en la base solo indica que no se ha visto en una filtración recopilada. Una contraseña de 8 letras minúsculas solo ofrece 26⁸ ≈ 209 000 millones de combinaciones, al alcance de una sola tarjeta gráfica; apunte a 12-15 caracteres como mínimo o a una frase de contraseña de 4 o 5 palabras.
¿Por qué la cifra puede superar varios millones?
El contador suma las apariciones de la contraseña en todas las filtraciones conocidas. «123456» o «password» se repiten en millones de cuentas: «password» se ha visto más de 52 millones de veces. Cuanto mayor es la cifra, antes aparece la contraseña en las listas que prueban los atacantes.
¿La herramienta es realmente gratuita?
Sí, todas las herramientas en Kristools son 100% gratuitas y accesibles sin registro.
¿Están protegidos mis datos?
Sí. Todo el procesamiento se realiza de forma segura y directa en tu navegador. No se envían datos personales a nuestros servidores.