¿Mi contraseña fue filtrada? Revísala sin enviarla
Revisa si una contraseña aparece en filtraciones de datos sin enviarla: con k-anonimato solo salen de tu dispositivo 5 caracteres de su hash.
Consulta en líneaSolo los 5 primeros caracteres del hash SHA-1 van a Have I Been Pwned. La contraseña nunca sale de tu equipo.
Revisión automática; no garantiza seguridad.
Cómo usarla
- Escribe la contraseña que quieres revisar (usa Mostrar para verla).
- Presiona Revisar. Tu navegador calcula el hash y le envía solo sus primeros 5 caracteres a Have I Been Pwned.
- Si aparece, deja de usarla y cámbiala en todos los sitios donde la tengas.
Cuándo vale la pena revisar una contraseña
Revisa una contraseña cuando un servicio que usas anuncia una filtración de datos, o cuando la usas en más de un sitio: los delincuentes toman pares de correo y contraseña filtrados de un sitio y los prueban en el correo, el banco y las redes sociales. También vale la pena revisar la clave de siempre que alguien de la familia insiste en que está bien, como Colombia2024.
La revisión es sobre la contraseña, no sobre ti: te dice si esa cadena exacta aparece en listas de contraseñas filtradas, sin importar quién la usó.
Qué significan `5BAA6` y el número de veces
Escribe una contraseña y presiona Revisar. Tu navegador la convierte en un hash SHA-1, una huella de 40 caracteres. Para la palabra password, esa huella empieza por 5BAA6, y esos 5 caracteres son lo único que sale de tu dispositivo. Have I Been Pwned responde con todas las huellas filtradas que empiezan igual, mezcladas con entradas falsas para que el tamaño de la respuesta no revele nada, y tu navegador busca la suya entre ellas.
Si el resultado dice que la contraseña aparece, por ejemplo, 1.200 veces, esa cadena salió 1.200 veces en las filtraciones que ha reunido el servicio. El número solo indica qué tan popular es. Con una sola vez ya hay que dejar de usarla, porque las listas filtradas son lo primero que prueban los atacantes. Un resultado en verde solo significa que no está en esas listas.
Por qué `Clave2024` no arregla una `Clave2023` filtrada
Un error común es cambiar Clave2023 por Clave2024, o agregarle un signo de admiración. Las variaciones pequeñas de una contraseña filtrada están entre los primeros intentos de un atacante. Cámbiala por una nueva que no se parezca, idealmente de un generador de contraseñas, y guárdala en un gestor de contraseñas.
Un resultado limpio tampoco significa que tus cuentas estén seguras: la contraseña puede ser nueva para las listas y aun así débil, o alguien pudo verte escribirla. Y cambiarla en un sitio no protege los otros donde la repetiste. Empieza por el correo, porque desde ahí se puede restablecer todo lo demás.
Preguntas frecuentes
¿Es seguro escribir aquí mi contraseña real?
La contraseña no se envía, solo el prefijo de 5 caracteres de su hash, como en el ejemplo de arriba. Have I Been Pwned (en `api.pwnedpasswords.com`) ve ese prefijo y tu dirección IP, como en cualquier petición web. Cientos de hashes filtrados comparten el mismo prefijo, así que el servicio no puede saber cuál revisaste.
Mi contraseña no aparece. ¿Quiere decir que es segura?
No necesariamente. Solo significa que no está en las filtraciones que conoce Have I Been Pwned. Una contraseña corta o predecible se puede adivinar rápido, así que usa una contraseña aleatoria larga o una frase de contraseña.
¿De dónde salen los datos de filtraciones?
De Pwned Passwords, parte de Have I Been Pwned: una colección pública de contraseñas reales expuestas en filtraciones, que se actualiza a medida que salen a la luz nuevas filtraciones. Una contraseña que se filtró en un robo que nadie ha publicado todavía no va a estar ahí.
¿Me dice si mi correo apareció en una filtración?
No. Esta página solo revisa contraseñas y nunca te pide el correo. Para ver en qué filtraciones aparece tu dirección de correo, usa el buscador del propio sitio de Have I Been Pwned.
¿Por qué mi contraseña está en la lista si nunca me hackearon una cuenta?
Porque la lista no dice de quién era la contraseña. Otra persona pudo elegir la misma, sobre todo si es corta o común. De todos modos, los atacantes ya la tienen en sus listas para adivinar, así que dala por quemada.
Guías sobre esta herramienta
- G2Cómo saber si mi contraseña fue filtrada y qué hacerRevisa si tu contraseña aparece en una filtración sin enviarla, qué hacer si aparece y cómo crear contraseñas seguras que sí puedas recordar.
- G13Cómo crear una contraseña segura que puedas recordarPor qué una frase larga es mejor que una clave corta y rara, cómo ayuda un gestor de contraseñas, la verificación en dos pasos y qué hacer con tus claves.
Más en este capítulo
- 1.1¿Es una estafa?Pega el mensaje o enlace que te llegó y mira sus señales de alerta: imitación de marcas, dominios nuevos, enlaces acortados, frases de estafa.
- 1.2¿Te estafaron o hackearon?Pasos para las primeras horas después de una estafa o un hackeo: un link falso, un código que diste, el WhatsApp robado, plata enviada.
- 1.3¿Es seguro este archivo?Mira qué es en realidad un archivo de WhatsApp o del correo y qué trucos trae: programas disfrazados, macros, PDF con scripts, apps que leen SMS.
- 1.4Expandir enlaces cortosMira a dónde lleva realmente un enlace corto (bit.ly, t.co, tinyurl…) antes de abrirlo: cada redirección, la URL final y señales de alerta.
- 1.5Escaneo de seguridad webRevisión pasiva de la página de inicio de un sitio: HTTPS, certificado TLS, HSTS, CSP, clickjacking, cookies y security.txt, con nota y correcciones.
- 1.6Verificar certificado SSLRevisa el certificado SSL/TLS de cualquier sitio: si es válido, cuándo vence, quién lo emitió, qué nombres cubre y qué versión de TLS usa.
- 1.7Detector de dominios falsosRevisa si un enlace o dominio imita a otro: letras de otros alfabetos, números por letras, un dominio real escondido.
- 1.8Edad de un dominioMira cuándo se registró un dominio, cuándo vence, su registrador y sus DNS.
- 1.9Generador de contraseñasContraseñas aleatorias (8 a 128 caracteres) o frases de contraseña, creadas en tu navegador con su generador criptográfico.
- 1.10Decodificador de certificadosPega un certificado PEM y lee su titular, emisor, fechas de validez, SANs, tipo y tamaño de clave, y sus huellas SHA-256 y SHA-1.
- 1.12Limpiador de enlacesQuita utm_, fbclid, gclid, si y otros parámetros de rastreo de los enlaces antes de compartirlos.
- 1.13Marca de agua para tu cédulaEscribe para quién es la copia de tu cédula, y la fecha, sobre toda la foto o el PDF, y descarga una copia más pequeña y sin datos de la foto.
- 1.14Cifrar textoCifra y descifra mensajes o notas con contraseña (AES-256-GCM) en tu navegador.
╌╌ FIN ╌╌