Jednorazowy e-mail Narzędzia
Zaktualizowano 29 października 2026
W internecie krążą miliardy skradzionych danych logowania. Wpisz hasło poniżej, aby sprawdzić, czy jest wśród nich. Nigdy nie opuszcza Twojego urządzenia: wysyłanych jest tylko 5 znaków jego skrótu.
Twoje hasło nigdy nie jest wysyłane. Przeglądarka najpierw zamienia je na skrót (hash), czyli ciąg 40 znaków obliczony algorytmem SHA-1. Te same dane zawsze dają ten sam skrót, ale ze skrótu nie da się odtworzyć hasła.
Następnie narzędzie wysyła tylko 5 pierwszych znaków tego skrótu do usługi Pwned Passwords serwisu Have I Been Pwned, publicznej bazy, która gromadzi hasła odnalezione w wyciekach danych. Serwis odpowiada listą wszystkich znanych skrótów zaczynających się od tych 5 znaków, często ponad tysiąca. Przeglądarka szuka wtedy Twojego skrótu na tej liście, na Twoim urządzeniu.
Ta metoda nazywa się k-anonimowością: serwis nie wie, który skrót z listy Cię interesuje, ani nawet, czy w ogóle się na niej znajduje. Aby dodatkowo zatrzeć ślady, narzędzie prosi o odpowiedzi uzupełnione fałszywymi wpisami, tak aby nawet rozmiar odpowiedzi niczego nie zdradzał.
| Wynik | Co oznacza | Co zrobić |
|---|---|---|
| Znalezione N razy | To dokładne hasło występuje w wyciekach, łącznie N razy | Przestać go używać, zmienić wszędzie |
| Brak, siła przyzwoita lub dobra | Nie ma go na listach wycieków i trudno je odgadnąć | Używać go tylko na jednym koncie |
| Brak, siła słaba | Nie ma go na listach, ale łatwo je odgadnąć | Zastąpić dłuższym hasłem |
Liczba pokazuje, ile razy to hasło pojawiło się we wszystkich wyciekach łącznie, niekoniecznie na którymś z Twoich kont. Hasło znalezione tylko raz mogło równie dobrze należeć do kogoś innego. Ale to bez znaczenia: gdy tylko trafi na te listy, hakerzy automatycznie próbują go na tysiącach stron. Jest spalone.
To, że hasła nie ma w żadnym wycieku, dowodzi tylko, że nie zostało jeszcze opublikowane. Krótkie lub przewidywalne hasło, na przykład imię z rokiem, program testujący miliony kombinacji odgadnie w kilka chwil.
Dlatego narzędzie ocenia też siłę hasła, na Twoim urządzeniu, według prostych kryteriów:
Ta ocena jest orientacyjna. Hasło może wyglądać na skomplikowane, a mimo to być związane z Twoim życiem prywatnym, więc ktoś, kto Cię zna, może je odgadnąć.
Najłatwiejsza do zapamiętania metoda to fraza hasłowa: cztery lub pięć losowo wybranych, niezwiązanych ze sobą słów, na przykład lampa-burza-skrzypce-cegla-sol. Jest długa, więc bardzo trudna do odgadnięcia, a przy tym dużo łatwiejsza do zapamiętania niż ciąg symboli. Unikaj cytatów, tekstów piosenek i przysłów, bo są w słownikach do ataków.
Na pozostałych kontach pozwól menedżerowi haseł generować losowe hasła o długości 16 znaków lub więcej. Zapamiętać musisz tylko hasło do menedżera.
Nie. Nie opuszcza Twojego urządzenia. Do serwisu Have I Been Pwned trafia tylko 5 pierwszych znaków jego skrótu SHA-1, co nie pozwala ani go odtworzyć, ani ustalić, które hasło sprawdzałeś. Boxo nie otrzymuje niczego.
Niekoniecznie. Wynik oznacza, że to dokładne hasło krąży w wyciekach, być może używane przez kogoś innego. Hakerzy będą go jednak próbować: zmień je wszędzie, gdzie go używasz, i włącz uwierzytelnianie dwuskładnikowe.
Niekoniecznie. To dowodzi tylko, że nie zostało opublikowane. Jeśli jest krótkie lub przewidywalne, program może je odgadnąć. Sprawdź też ocenę siły i wybieraj hasła mające co najmniej 12 znaków.
Tutaj SHA-1 nie służy do ochrony hasła, tylko do porównania go z bazą Have I Been Pwned, która jest w ten sposób zindeksowana. Ponieważ wysyłanych jest tylko 5 znaków skrótu, słabość algorytmu nie wpływa na Twoją prywatność.