Одноразовая почта Инструменты
Обновлено 29 октября 2026 г.
В интернете гуляют миллиарды украденных логинов и паролей. Введите пароль ниже, чтобы узнать, есть ли он среди них. Он никогда не покидает ваше устройство: отправляются только 5 символов его хеша.
Ваш пароль никогда не отправляется. Сначала браузер превращает его в хеш: строку из 40 символов, вычисленную по алгоритму SHA-1. Одни и те же входные данные всегда дают один и тот же хеш, но восстановить пароль по хешу невозможно.
Затем инструмент отправляет только первые 5 символов этого хеша сервису Pwned Passwords от Have I Been Pwned. Это открытая база, в которой собраны пароли, найденные в утечках данных. Сервис возвращает список всех известных хешей, начинающихся с этих 5 символов, обычно их больше тысячи. Ваш браузер ищет в этом списке ваш хеш прямо на вашем устройстве.
Этот метод называется k-анонимностью: сервис не знает, какой хеш из списка вас интересует и есть ли он там вообще. Чтобы ещё сильнее запутать следы, инструмент запрашивает ответы, дополненные фиктивными записями, чтобы даже размер ответа ничего не выдавал.
| Результат | Что это значит | Что делать |
|---|---|---|
| Найден, N совпадений | Именно этот пароль встречается в утечках, всего N раз | Больше не использовать, сменить везде |
| Не найден, надёжность средняя или высокая | Его нет в списках утечек, и его трудно угадать | Оставить для одного аккаунта |
| Не найден, надёжность низкая | Его нет в списках, но его легко угадать | Заменить более длинным паролем |
Число показывает, сколько раз этот пароль встречался во всех утечках вместе, а не обязательно в одном из ваших аккаунтов. Пароль, найденный всего один раз, вполне мог использовать кто-то другой. Но это неважно: раз он попал в эти списки, злоумышленники автоматически пробуют его на тысячах сайтов. Он скомпрометирован.
Отсутствие в утечках доказывает лишь то, что пароль ещё не опубликован. Короткий или предсказуемый пароль, например имя и год, программа, перебирающая миллионы комбинаций, подберёт за считаные секунды.
Поэтому инструмент также оценивает надёжность прямо на вашем устройстве по простым критериям:
Эта оценка носит ориентировочный характер. Пароль может казаться сложным и при этом быть связан с вашей личной жизнью, а значит, его может угадать тот, кто вас знает.
Проще всего запомнить парольную фразу: четыре или пять случайных, не связанных между собой слов, например lampa-groza-skripka-kirpich-sol. Она длинная, поэтому её очень трудно подобрать, а запомнить её гораздо легче, чем набор символов. Избегайте цитат, строк из песен и пословиц: они есть в словарях для взлома.
Для остальных аккаунтов доверьте менеджеру паролей генерацию случайных паролей длиной от 16 символов. Запомнить нужно будет только пароль от самого менеджера.
Нет. Он не покидает ваше устройство. Сервису Have I Been Pwned отправляются только первые 5 символов его хеша SHA-1, а по ним невозможно ни восстановить пароль, ни понять, какой именно вы проверяли. Boxo не получает ничего.
Не обязательно. Результат означает, что именно этот пароль гуляет по утечкам, возможно, его использовал кто-то другой. Но злоумышленники обязательно его попробуют: смените его везде, где он используется, и включите двухфакторную аутентификацию.
Не обязательно. Это доказывает лишь то, что он не был опубликован. Если он короткий или предсказуемый, программа может его подобрать. Посмотрите и на оценку надёжности, а длину выбирайте не меньше 12 символов.
Здесь SHA-1 нужен не для защиты пароля, а для сравнения с базой Have I Been Pwned, которая проиндексирована именно так. Поскольку отправляются только 5 символов хеша, слабость алгоритма никак не влияет на вашу конфиденциальность.