Herramienta gratuita
Comprobar si tu contraseña ha sido filtrada
Averigua si tu contraseña aparece en filtraciones de datos conocidas. La búsqueda es privada: tu contraseña nunca se envía, solo un fragmento de su hash (k-anonymity). No se guarda ni se registra nada.
Cómo funciona: tu contraseña se hashea con SHA-1 en tu navegador. Solo se envían los primeros 5 caracteres del hash a la API de filtraciones (Pwned Passwords). El servidor devuelve cientos de coincidencias posibles con ese prefijo y la comparación final se hace en tu equipo. Por eso el servidor nunca conoce tu contraseña. Fuente de datos: Have I Been Pwned.
Por qué comprobar tus contraseñas
Los atacantes no adivinan contraseñas una a una: usan listas con miles de millones de combinaciones extraídas de brechas de datos y las prueban de forma masiva contra todos los servicios posibles (credential stuffing). Si tu contraseña está en una de esas listas, o si reutilizas la misma en varios sitios, tu cuenta es un objetivo fácil aunque el servicio donde la usas nunca haya sido hackeado.
Comprobar una contraseña contra las filtraciones conocidas es gratis y rápido. Si aparece, es la señal más clara de que hay que cambiarla. Si no aparece, no es una garantía: una contraseña larga y única para cada servicio es la única defensa real.
Qué es el k-anonymity y por qué es privado
El k-anonymity es la técnica que permite comprobar una contraseña sin revelarla. Tu contraseña se transforma en un hash SHA-1 y solo se consultan los 5 primeros caracteres de ese hash; el resto nunca sale de tu navegador. Como cada prefijo de 5 caracteres corresponde a cientos de hashes posibles, el servidor no puede saber cuál de ellos era el tuyo. Es el mismo método que usa Have I Been Pwned (Pwned Passwords) y NIST lo recomienda frente a enviar la contraseña en claro.
Si aparece filtrada, qué hacer
- Cámbiala ahora. En todos los servicios donde la uses, empezando por el correo.
- Deja de reutilizarla. Una contraseña distinta por servicio. Si cae una, no caen todas.
- Activa el 2FA. La verificación en dos pasos frena el acceso aunque conozcan la contraseña.
- Usa un gestor de contraseñas. Genera y recuerda claves largas y únicas por ti. ¿No tienes una a mano? Créala con el generador de contraseñas seguras.
Esto es la superficie: la seguridad real va más allá
Una contraseña filtrada es una puerta de entrada, pero las empresas normalmente caen por otras vías: una aplicación web con un fallo explotable, un servicio mal configurado o una API sin control de acceso. Detectar esos fallos antes que un atacante es lo que hacemos en un pentesting.
Empieza por ver pentesting web y APIs o cómo contratar un pentesting.
La contraseña es tu parte; la app es la nuestra
Tu equipo puede tener contraseñas fuertes y aun así la empresa caer por una vulnerabilidad en el código. Probamos tus aplicaciones, APIs e infraestructura como lo haría un atacante, con un informe que tu equipo puede ejecutar.
Preguntas frecuentes
¿Es seguro escribir mi contraseña aquí?
Sí. Se usa k-anonymity: tu contraseña se hashea en tu navegador y solo se envía un fragmento de 5 caracteres del hash. El servidor nunca recibe tu contraseña ni el hash completo, así que no puede saber cuál era. No se guarda nada.
¿Qué significa que mi contraseña esté filtrada?
Que esa contraseña ha aparecido en alguna brecha de datos conocida y está en las listas que usan los atacantes. Si reutilizas la misma contraseña en varios sitios, un atacante puede probarla ahí. Cámbiala cuanto antes.
¿Qué hago si mi contraseña aparece filtrada?
Cámbiala en todos los sitios donde la uses, deja de reutilizarla y activa la verificación en dos pasos. Lo ideal es un gestor de contraseñas con una clave distinta por servicio.
¿Qué es una contraseña fuerte?
Una contraseña fuerte es larga (mínimo 12 caracteres, mejor 16), única para cada servicio y no basada en datos personales. La longitud importa más que los símbolos. Un gestor de contraseñas la genera por ti.
¿La herramienta guarda mi contraseña?
No. La comprobación ocurre en tu navegador y a la API de filtraciones solo viaja un fragmento del hash. No se registra la contraseña, ni el hash, ni la consulta desde nuestro lado.