Correo desechable Herramientas
Actualizado el 29 de octubre de 2026
Por Internet circulan miles de millones de credenciales robadas. Escribe una contraseña abajo para saber si está entre ellas. Nunca sale de tu dispositivo: solo se envían 5 caracteres de su huella.
Tu contraseña nunca se envía. Primero, tu navegador la convierte en una huella, una cadena de 40 caracteres calculada con el algoritmo SHA-1. Una misma entrada da siempre la misma huella, pero a partir de la huella no se puede volver a la contraseña.
Después, la herramienta solo envía los 5 primeros caracteres de esa huella al servicio Pwned Passwords, de Have I Been Pwned, una base pública que reúne las contraseñas encontradas en filtraciones de datos. El servicio responde con la lista de todas las huellas conocidas que empiezan por esos 5 caracteres, a menudo más de mil. Tu navegador busca entonces la tuya en esa lista, en tu dispositivo.
Este método se llama k-anonimato: el servicio no sabe qué huella de la lista te interesa, ni siquiera si está en ella. Para despistar todavía más, la herramienta pide respuestas completadas con entradas falsas, de modo que el tamaño de la respuesta no revele nada.
| Resultado | Qué significa | Qué hacer |
|---|---|---|
| Encontrada N veces | Esta contraseña exacta aparece en filtraciones, N veces en total | Dejar de usarla y cambiarla en todas partes |
| No aparece, robustez aceptable o fuerte | Desconocida en las listas de filtraciones y difícil de adivinar | Usarla para una sola cuenta |
| No aparece, robustez débil | Desconocida en las listas, pero fácil de adivinar | Sustituirla por una contraseña más larga |
La cifra indica cuántas veces se ha visto esta contraseña en el conjunto de las filtraciones, no necesariamente en una de tus cuentas. Una contraseña encontrada una sola vez puede haberla usado otra persona. Pero da igual: en cuanto figura en esas listas, los piratas la prueban automáticamente en miles de sitios. Está quemada.
No aparecer en una filtración solo demuestra que esa contraseña aún no se ha publicado. Una contraseña corta o previsible, como un nombre seguido de un año, puede adivinarla en un momento un programa que prueba millones de combinaciones.
Por eso la herramienta también estima la robustez, en tu dispositivo, a partir de criterios sencillos:
Esta estimación es orientativa. Una contraseña puede parecer compleja y, aun así, estar ligada a tu vida privada, y por tanto ser adivinable por alguien que te conozca.
El método más fácil de recordar es la frase de contraseña: cuatro o cinco palabras elegidas al azar, sin relación entre ellas, por ejemplo lampara-tormenta-violin-ladrillo-sal. Es larga, así que muy difícil de adivinar, y mucho más fácil de memorizar que una serie de símbolos. Evita citas, letras de canciones o refranes, que están en los diccionarios de ataque.
Para el resto de tus cuentas, deja que un gestor de contraseñas genere contraseñas aleatorias de 16 caracteres o más. Solo tendrás que recordar la del gestor.
Obtener una dirección desechable
No. No sale de tu dispositivo. Solo se envían los 5 primeros caracteres de su huella SHA-1 al servicio Have I Been Pwned, lo que no permite recuperarla ni saber cuál has comprobado. Boxo no recibe nada.
No necesariamente. El resultado significa que esa contraseña exacta circula en filtraciones, quizá usada por otra persona. Pero los piratas la probarán: cámbiala en todos los sitios donde la uses y activa la verificación en dos pasos.
No siempre. Solo demuestra que no se ha publicado. Si es corta o previsible, un programa puede adivinarla. Mira también la estimación de robustez y usa 12 caracteres como mínimo.
Aquí SHA-1 no sirve para proteger la contraseña, sino para compararla con la base de Have I Been Pwned, que está indexada así. Como solo se envían 5 caracteres de la huella, su debilidad no afecta a tu privacidad.