E-mail descartável Ferramentas
Atualizado em 29 de outubro de 2026
Circulam na Internet milhares de milhões de credenciais roubadas. Escreva uma palavra-passe abaixo para saber se está entre elas. Nunca sai do seu dispositivo: só são enviados 5 caracteres da sua impressão digital.
A sua palavra-passe nunca é enviada. Primeiro, o navegador transforma-a numa impressão digital (hash), uma sequência de 40 caracteres calculada com o algoritmo SHA-1. A mesma entrada dá sempre a mesma impressão, mas não é possível voltar da impressão à palavra-passe.
Depois, a ferramenta envia apenas os 5 primeiros caracteres dessa impressão ao serviço Pwned Passwords, do Have I Been Pwned, uma base pública que reúne as palavras-passe encontradas em fugas de dados. O serviço responde com a lista de todas as impressões conhecidas que começam por esses 5 caracteres, muitas vezes mais de mil. O seu navegador procura então a sua nessa lista, no seu dispositivo.
Este método chama-se k-anonimato: o serviço não sabe que impressão da lista lhe interessa, nem sequer se ela lá está. Para baralhar ainda mais as pistas, a ferramenta pede respostas completadas com entradas falsas, para que o tamanho da resposta não revele nada.
| Resultado | O que significa | O que fazer |
|---|---|---|
| Encontrada N vezes | Esta palavra-passe exata aparece em fugas, N vezes no total | Deixar de a usar e alterá-la em todo o lado |
| Ausente, robustez razoável ou forte | Desconhecida nas listas de fugas e difícil de adivinhar | Mantê-la para uma só conta |
| Ausente, robustez fraca | Desconhecida nas listas, mas fácil de adivinhar | Substituí-la por uma palavra-passe mais longa |
O número indica quantas vezes esta palavra-passe foi vista no conjunto das fugas, não forçosamente numa das suas contas. Uma palavra-passe encontrada uma única vez pode perfeitamente ter sido usada por outra pessoa. Mas pouco importa: assim que está nessas listas, os piratas testam-na automaticamente em milhares de sites. Está queimada.
Não aparecer numa fuga prova apenas que essa palavra-passe ainda não foi publicada. Uma palavra-passe curta ou previsível, como um nome seguido de um ano, pode ser adivinhada em poucos instantes por um programa que testa milhões de combinações.
É por isso que a ferramenta também estima a robustez, no seu dispositivo, a partir de critérios simples:
Esta estimativa é apenas indicativa. Uma palavra-passe pode parecer complexa e, mesmo assim, estar ligada à sua vida pessoal, e portanto ser adivinhável por alguém que o conheça.
O método mais fácil de memorizar é a frase-passe: quatro ou cinco palavras escolhidas ao acaso, sem ligação entre elas, por exemplo lampada-trovoada-violino-tijolo-sal. É longa, portanto muito difícil de adivinhar, e muito mais fácil de memorizar do que uma sequência de símbolos. Evite citações, letras de canções ou provérbios, que estão nos dicionários de ataque.
Para as restantes contas, deixe um gestor de palavras-passe gerar palavras-passe aleatórias de 16 caracteres ou mais. Só terá de memorizar a do gestor.
Não. Não sai do seu dispositivo. Só os 5 primeiros caracteres da impressão digital SHA-1 são enviados ao serviço Have I Been Pwned, o que não permite recuperá-la nem saber qual testou. O Boxo não recebe nada.
Não necessariamente. O resultado significa que esta palavra-passe exata circula em fugas de dados, talvez usada por outra pessoa. Mas os piratas vão testá-la: altere-a em todo o lado onde a usa e ative a verificação em dois passos.
Não forçosamente. Isso só prova que não foi publicada. Se for curta ou previsível, um programa pode adivinhá-la. Veja também a estimativa de robustez e prefira 12 caracteres no mínimo.
Aqui o SHA-1 não serve para proteger a palavra-passe, mas para a comparar com a base do Have I Been Pwned, que está indexada assim. Como só são enviados 5 caracteres da impressão, a sua fraqueza não afeta a sua privacidade.