E-mail usa e getta Strumenti
Aggiornato il 29 ottobre 2026
Su Internet circolano miliardi di credenziali rubate. Digita una password qui sotto per sapere se è tra queste. Non lascia mai il tuo dispositivo: vengono inviati solo 5 caratteri del suo hash.
La tua password non viene mai inviata. Il browser la trasforma prima in un hash, una sequenza di 40 caratteri calcolata con l'algoritmo SHA-1. Lo stesso input produce sempre lo stesso hash, ma dall'hash non si può risalire alla password.
Lo strumento invia poi solo i primi 5 caratteri di questo hash al servizio Pwned Passwords di Have I Been Pwned, un archivio pubblico che raccoglie le password ritrovate nelle violazioni di dati. Il servizio risponde con l'elenco di tutti gli hash noti che iniziano con quei 5 caratteri, spesso più di mille. A quel punto il browser cerca il tuo in questo elenco, direttamente sul tuo dispositivo.
Questo metodo si chiama k-anonimato: il servizio non sa quale hash dell'elenco ti interessa, e nemmeno se è presente. Per confondere ancora di più le acque, lo strumento chiede risposte completate con voci fittizie, così che neppure la dimensione della risposta riveli qualcosa.
| Risultato | Che cosa significa | Che cosa fare |
|---|---|---|
| Trovata N volte | Questa password esatta compare nelle violazioni, N volte in totale | Non usarla più, cambiarla ovunque |
| Assente, robustezza discreta o forte | Sconosciuta agli elenchi delle violazioni e difficile da indovinare | Tenerla per un solo account |
| Assente, robustezza debole | Sconosciuta agli elenchi, ma facile da indovinare | Sostituirla con una password più lunga |
Il numero indica quante volte questa password è stata vista nell'insieme delle violazioni, non necessariamente in uno dei tuoi account. Una password trovata una sola volta può benissimo essere stata usata da qualcun altro. Ma poco importa: appena finisce in questi elenchi, gli hacker la provano in automatico su migliaia di siti. È bruciata.
Non comparire in una violazione dimostra soltanto che questa password non è ancora stata pubblicata. Una password corta o prevedibile, come un nome seguito da un anno, può essere indovinata in pochi istanti da un software che prova milioni di combinazioni.
Per questo lo strumento stima anche la robustezza, sul tuo dispositivo, in base a criteri semplici:
Questa stima resta indicativa. Una password può sembrare complessa ed essere comunque legata alla tua vita privata, quindi indovinabile da chi ti conosce.
Il metodo più facile da ricordare è la passphrase: quattro o cinque parole scelte a caso, senza legami tra loro, per esempio lampada-temporale-violino-mattone-sale. È lunga, quindi difficilissima da indovinare, e molto più semplice da memorizzare di una sequenza di simboli. Evita citazioni, testi di canzoni o proverbi, che sono presenti nei dizionari di attacco.
Per il resto dei tuoi account, lascia che un gestore di password generi password casuali di 16 caratteri o più. Dovrai ricordare solo quella del gestore.
Ottieni un indirizzo usa e getta
No. Non lascia il tuo dispositivo. Al servizio Have I Been Pwned vengono inviati solo i primi 5 caratteri del suo hash SHA-1, che non permettono né di ricostruirla né di sapere quale hai verificato. Boxo non riceve nulla.
Non necessariamente. Il risultato significa che questa password esatta circola nelle violazioni di dati, magari usata da qualcun altro. Ma gli hacker la proveranno: cambiala ovunque la usi e attiva l'autenticazione a due fattori.
Non per forza. Dimostra solo che non è stata pubblicata. Se è corta o prevedibile, un software può indovinarla. Guarda anche la stima di robustezza e preferisci almeno 12 caratteri.
Qui SHA-1 non serve a proteggere la password ma a confrontarla con l'archivio di Have I Been Pwned, che è indicizzato in questo modo. Dato che vengono inviati solo 5 caratteri dell'hash, la sua debolezza non ha effetti sulla tua riservatezza.