Wegwerp-e-mail Tools
Bijgewerkt op 29 oktober 2026
Miljarden gestolen inloggegevens circuleren op internet. Typ hieronder een wachtwoord om te zien of het daarbij zit. Het verlaat uw apparaat nooit: alleen 5 tekens van de hash worden verstuurd.
Uw wachtwoord wordt nooit verstuurd. Uw browser zet het eerst om in een hash, een reeks van 40 tekens die wordt berekend met het algoritme SHA-1. Dezelfde invoer geeft altijd dezelfde hash, maar vanuit de hash kunt u niet terug naar het wachtwoord.
Daarna stuurt de tool alleen de eerste 5 tekens van die hash naar de dienst Pwned Passwords van Have I Been Pwned, een openbare database met wachtwoorden die in datalekken zijn gevonden. De dienst antwoordt met de lijst van alle bekende hashes die met die 5 tekens beginnen, vaak meer dan duizend. Uw browser zoekt vervolgens uw hash in die lijst, op uw eigen apparaat.
Deze methode heet k-anonimiteit: de dienst weet niet welke hash uit de lijst u interesseert, en zelfs niet of hij erin staat. Om het spoor nog beter uit te wissen, vraagt de tool om antwoorden die zijn aangevuld met nepregels, zodat de grootte van het antwoord niets verraadt.
| Resultaat | Wat het betekent | Wat te doen |
|---|---|---|
| N keer gevonden | Precies dit wachtwoord komt voor in datalekken, in totaal N keer | Niet meer gebruiken, overal wijzigen |
| Niet gevonden, sterkte redelijk of sterk | Onbekend in lekkenlijsten en moeilijk te raden | Bewaren voor één account |
| Niet gevonden, sterkte zwak | Onbekend in lekkenlijsten, maar makkelijk te raden | Vervangen door een langer wachtwoord |
Het getal geeft aan hoe vaak dit wachtwoord in alle datalekken samen is gezien, niet per se in een van uw accounts. Een wachtwoord dat maar één keer is gevonden, kan best door iemand anders zijn gebruikt. Maar dat maakt niet uit: zodra het op die lijsten staat, proberen hackers het automatisch uit op duizenden sites. Het is niet meer bruikbaar.
Dat een wachtwoord in geen enkel lek voorkomt, bewijst alleen dat het nog niet is gepubliceerd. Een kort of voorspelbaar wachtwoord, zoals een voornaam met een jaartal, kan in een paar tellen worden geraden door software die miljoenen combinaties probeert.
Daarom schat de tool ook de sterkte, op uw apparaat, op basis van eenvoudige criteria:
Deze schatting is een indicatie. Een wachtwoord kan ingewikkeld lijken en toch met uw privéleven te maken hebben, en dus te raden zijn voor iemand die u kent.
De makkelijkste methode om te onthouden is een wachtzin: vier of vijf willekeurig gekozen woorden zonder verband, bijvoorbeeld lamp-onweer-viool-baksteen-zout. Die is lang, dus heel moeilijk te raden, en veel makkelijker te onthouden dan een reeks symbolen. Vermijd citaten, songteksten of spreekwoorden, want die staan in aanvalswoordenboeken.
Laat voor de rest van uw accounts een wachtwoordmanager willekeurige wachtwoorden van 16 tekens of meer aanmaken. U hoeft dan alleen het wachtwoord van de manager te onthouden.
Nee. Het verlaat uw apparaat niet. Alleen de eerste 5 tekens van de SHA-1-hash gaan naar de dienst Have I Been Pwned. Daarmee is het niet terug te vinden en is ook niet te zien welk wachtwoord u hebt gecontroleerd. Boxo ontvangt niets.
Niet per se. Het resultaat betekent dat precies dit wachtwoord in datalekken rondgaat, misschien gebruikt door iemand anders. Hackers zullen het wel proberen: wijzig het overal waar u het gebruikt en zet tweestapsverificatie aan.
Niet noodzakelijk. Dat bewijst alleen dat het niet is gepubliceerd. Is het kort of voorspelbaar, dan kan software het raden. Kijk ook naar de sterkteschatting en kies minstens 12 tekens.
SHA-1 dient hier niet om het wachtwoord te beschermen, maar om het te vergelijken met de database van Have I Been Pwned, die zo is geïndexeerd. Omdat er maar 5 tekens van de hash worden verstuurd, heeft de zwakte ervan geen invloed op uw privacy.