Comprovador de contrasenyes

La teva contrasenya no surt mai del teu dispositiu. Com es manté privada

Contrasenya per comprovar

Prova:

Mira quant de temps es trigaria a esbrinar-la i si s'ha filtrat.

Password checker gratuït: comprova la seguretat de la contrasenya

Comprova si la teva contrasenya és segura amb aquest password checker. Escriu-la o enganxa-la a dalt per veure com n'és, de segura, quant de temps caldria per desxifrar-la i si és una del milió de contrasenyes més filtrades. Tot es fa al navegador mentre escrius, i la contrasenya no surt mai d'aquest dispositiu.

Quan deixes d'escriure, també busca la contrasenya a la llista Pwned Passwords de Have I Been Pwned, i només envia 5 caràcters d'una empremta digital codificada, mai la contrasenya. Mira exactament què s'envia.

Ves a: Què vol dir el resultat · Què s'envia · Si és feble · Preguntes

Què vol dir el resultat

La majoria de contrasenyes no es desxifren provant combinacions en una pàgina d'inici de sessió. Els atacants entren en un lloc web, en roben les contrasenyes emmagatzemades i proven combinacions contra aquesta llista als seus propis ordinadors, tan de pressa com els permet el maquinari. El temps que mostra el comprovador de contrasenyes correspon a 1.000 targetes gràfiques provant combinacions a tota velocitat, i aquest temps determina el nivell:

Molt segura: Un milió d'anys o més; Prou segura per a tot el que aquest comprovador pot avaluar, si és aleatòria i única
Segura: Menys d'un milió d'anys; Adequada per a la majoria de comptes, si és única
Acceptable: Menys de 100 anys; Canvia-la el pròxim cop que iniciïs sessió
Feble: Menys d'un any; Canvia-la ara a tot arreu on la facis servir

Sembla segura, però no ho és

La majoria de comprovadors de contrasenyes només tenen en compte la longitud i els tipus de caràcters, així que valoren molt bé una contrasenya com P@ssw0rd2024!. Les eines per desxifrar contrasenyes no compten caràcters: proven els patrons que fa servir la gent, i els proven primer. Això és el que diu aquest comprovador de contrasenyes sobre algunes que semblen segures:

P@ssw0rd2024!FiltradaUna paraula, substitucions per caràcters semblants, un any i un símbol: trobada en filtracions de dades unes 500 vegades
Password123!FiltradaTrobada en filtracions de dades unes 300.000 vegades
Liverpool1892FiltradaUn equip i l’any de la seva fundació: unes 27.000 vegades
k7#Rq!9vT$2m@LxMolt seguraAleatòria: 31 milions d’anys per desxifrar-la

Una contrasenya que apareix en una filtració de dades no és segura, sigui quin sigui el seu nivell de seguretat, perquè els atacants proven les contrasenyes filtrades abans que cap altra. Un comprovador de contrasenyes pot mostrar que una contrasenya és feble; no pot demostrar que sigui segura.

Fonts: Proves de rendiment de targetes gràfiques (hashcat), zxcvbn (USENIX Security), Directrius del NIST sobre contrasenyes, El NIST sobre la computació quàntica. Llistes de paraules de FrequencyWords, de Hermit Dave, CC BY-SA 4.0.

Què s'envia quan comproves si hi ha filtracions

No s'envia res mentre escrius cada caràcter. Quan deixes d'escriure o enganxes una contrasenya, això és el que passa una sola vegada, fent servir la contrasenya password com a exemple:

Escrius la contrasenyapasswordes queda al teu dispositiu
El navegador la converteix en una empremta SHA-15BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8es queda al teu dispositiu
Només s'envien els primers 5 caràcters a Have I Been Pwned5BAA6s'envia
El servei retorna totes les empremtes filtrades que comencen igual, unes 2.000, barrejades amb empremtes fictíciesel navegador busca la coincidència

El servei no veu mai la contrasenya ni la seva empremta completa, de manera que no pot saber quina d'aquestes 2.000 has comprovat.

La comprovació ràpida de filtracions es fa al teu dispositiu. La pàgina descarrega, una sola vegada, una llista compacta d'empremtes del milió de contrasenyes més filtrades, de manera que no cal enviar cap petició per comprovar-les mentre escrius. La probabilitat d'una coincidència falsa és d'aproximadament una entre un milió.
Una petició per contrasenya, mai una per cada tecla que prems. La comprovació espera fins que deixes d'escriure. Si la contrasenya ja és a la llista del dispositiu, no s'envia res, i els petits canvis en una contrasenya (corregir un error d'escriptura, afegir-hi uns quants caràcters) es comproven com a màxim dues vegades: comparar comprovacions gairebé idèntiques podria revelar la contrasenya. Alguns comprovadors envien una consulta cada vegada que prems una tecla, i el conjunt d'aquestes consultes revela la contrasenya caràcter a caràcter.
No es desa res. La contrasenya no s'emmagatzema mai, no es posa mai a la barra d'adreces i desapareix quan surts de la pàgina.
Comprova-ho tu mateix. Obre la pestanya Xarxa de les eines per a desenvolupadors del navegador i escriu: no s'envia res fins que deixes d'escriure. Llavors veuràs una única petició a api.pwnedpasswords.com, amb una adreça que acaba amb els 5 caràcters que es mostren en aquesta secció. O desconnecta't d'internet: tot continua funcionant excepte la comprovació completa de filtracions.

Dades de contrasenyes filtrades: Pwned Passwords de Have I Been Pwned, utilitzades sota la llicència Creative Commons Reconeixement 4.0.

Si la teva contrasenya és feble o s'ha filtrat

Canvia-la a tots els llocs on la facis servir, començant pel correu electrònic, perquè permet restablir les contrasenyes de la resta de comptes.
Crea'n una de nova en lloc de modificar l'antiga. Afegir un caràcter o canviar un 1 per un 2 és el primer que proven els atacants. Crea una contrasenya aleatòria o una frase de contrasenya.
Fes servir un gestor de contrasenyes, perquè cada compte tingui una contrasenya pròpia sense que n'hagis de recordar cap.
Activa la verificació en dos passos sempre que estigui disponible. Manté el compte protegit encara que es filtri la contrasenya.

Preguntes freqüents

Quin és el test de seguretat de contrasenyes més segur?

Un que no envia res mentre escrius i et permet comprovar-ho. Aquesta pàgina comprova la seguretat de la contrasenya i si és entre el milió de contrasenyes més filtrades al teu dispositiu. La comprovació completa de filtracions espera fins que deixes d'escriure i només envia 5 caràcters d'una empremta digital, una sola vegada. Pots veure-ho a la pestanya Xarxa del navegador, o desconnectar-te d'internet i veure que el comprovador continua funcionant.

Com puc comprovar si s'ha filtrat la meva contrasenya?

Escriu-la o enganxa-la més amunt. Si és una del milió de contrasenyes més filtrades, ho veuràs de seguida. Quan deixes d'escriure, també comprova totes les filtracions conegudes. Si apareix en alguna, deixa de fer-la servir.

És segur fer servir Have I Been Pwned?

Sí, per comprovar contrasenyes. El seu sistema de comprovació està dissenyat perquè no rebi mai la teva contrasenya: el navegador només envia els primers 5 caràcters de l'empremta digital de la contrasenya i fa la comparació final al mateix dispositiu. Aquesta pàgina també demana que s'incloguin entrades fictícies a la resposta, de manera que ni tan sols la seva mida revela res.

Quina és la contrasenya més piratejada?

123456, que s'ha trobat en filtracions de dades més de 210 milions de vegades, seguida de 123456789, 12345678, password i qwerty (segons dades de Have I Been Pwned). Tot allò que se li pot acudir ràpidament a algú ja és a les llistes.

Em pots donar un exemple de contrasenya segura?

Qualsevol exemple que hagis vist publicat ja no és segur, perquè ara és a les llistes. Fins i tot correcthorsebatterystaple, del còmic xkcd, ha aparegut en filtracions milers de vegades. Una contrasenya segura és la que es crea a l'atzar només per a tu: fes servir el generador de contrasenyes o el generador de frases de contrasenya.

Quant es trigaria a desxifrar la meva contrasenya?

Escriu-la més amunt i el comprovador de contrasenyes et mostrarà el temps mitjà que trigarien 1.000 targetes gràfiques a trobar-la provant combinacions a tota velocitat contra una llista de contrasenyes robada: l'escenari per al qual val la pena preparar-se. Una contrasenya aleatòria de 8 caràcters es desxifra en segons; una de 16 caràcters triga uns 3 mil milions d'anys.

Per què altres comprovadors mostren temps més llargs?

Tots els comprovadors han de partir d'un supòsit sobre l'atacant, i la majoria no diuen quin. Molts suposen que el lloc web emmagatzema les contrasenyes amb un mètode deliberadament lent, que només permet provar milers de combinacions per segon. Alguns fan servir velocitats de targetes gràfiques de fa anys, i d'altres només tenen en compte la longitud i passen per alt patrons com ara paraules i dates. Nosaltres mostrem un escenari més exigent i ho deixem clar: una llista de contrasenyes robada contra la qual 1.000 targetes gràfiques proven combinacions a tota velocitat. Les contrasenyes de molts llocs web ben gestionats triguen molt més a desxifrar-se, però no pots saber quin mètode fa servir un lloc web. Per això, pren els nostres temps com el pitjor dels casos per al qual cal preparar-se.

Per què una contrasenya llarga continua apareixent com a feble?

Perquè les eines per desxifrar contrasenyes no proven una lletra cada vegada. Proven paraules senceres, noms, llocs, dates i contrasenyes habituals, i després els combinen i hi afegeixen números. LiverpoolFootball1892 té 21 caràcters, però per a una eina d'aquest tipus són dues paraules habituals i un any: uns cent milions de combinacions, que una sola targeta gràfica prova en menys d'un segon. La longitud només ajuda quan els caràcters són imprevisibles, com en una contrasenya aleatòria o una frase de pas de paraules aleatòries.

On puc veure quines de les meves contrasenyes desades estan compromeses?

El teu gestor de contrasenyes les pot comprovar totes alhora. En un iPhone o un Mac, obre l'aplicació Contrasenyes i ves a Seguretat. A Chrome, el Gestor de contrasenyes de Google té la funció Revisió de contrasenyes. NordPass, Bitwarden, 1Password i la majoria de gestors de contrasenyes ofereixen un informe semblant.

Quina longitud ha de tenir una contrasenya?

Com a mínim, 16 caràcters aleatoris o set paraules aleatòries. El NIST, un organisme de normalització dels Estats Units, indica als llocs web que han d'acceptar contrasenyes de com a mínim 64 caràcters i exigir-ne almenys 15 quan la contrasenya és l'única protecció del compte.

Idioma