¿Esta contraseña fue filtrada?

Cómo verifica sin enviar tu contraseña

Have I Been Pwned mantiene una lista de cientos de millones de contraseñas que aparecieron en filtraciones de datos. Enviar tu contraseña allí para buscarla no tendría sentido, así que Octoolo usa un método llamado k-anonimato:

• Convierte la contraseña en su huella SHA-1, de 40 caracteres. La huella de “password” es 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8.
• Envía solo los primeros cinco caracteres, 5BAA6 en ese ejemplo, a api.pwnedpasswords.com.
• El servicio responde con todas las huellas filtradas que empiezan igual, normalmente cientos, con líneas de relleno para que ni siquiera el tamaño de la respuesta revele nada.
• Octoolo busca el resto de tu huella en esa respuesta, en tu PC.

El servicio nunca conoce la contraseña, ni siquiera su huella completa. Nada de lo que escribes se guarda.

Si tu contraseña fue filtrada

Un número mayor que cero significa que la contraseña está en las listas que los delincuentes prueban primero cuando usan contraseñas filtradas en otros sitios. No significa que hayan entrado en tu cuenta, y no dice qué sitio la filtró. Aun así, dala por quemada:

• Cámbiala en todos los sitios donde la usaste, empezando por tu correo, porque con el correo se restablece todo lo demás.
• Dale a cada sitio su propia contraseña. El generador de contraseñas o el dado de la bóveda crean una en un clic.
• Activa la verificación en dos pasos donde puedas, con una app autenticadora o con el método del propio sitio.
• Revisa la cuenta en busca de cambios que no hiciste, como un nuevo correo o teléfono de recuperación.

No le des demasiada importancia al tamaño del número. Una contraseña vista una vez está tan quemada como una vista un millón de veces: en los dos casos está en listas que se comparten y se prueban.

Lo que el resultado no te dice

No aparece en ninguna filtración conocida significa justo eso. Una contraseña corta o predecible se puede adivinar sin haberse filtrado nunca, y por eso el medidor de seguridad, basado en el estimador zxcvbn, funciona junto a la comprobación. También pasa lo contrario: una contraseña larga y fuerte puede filtrarse si un sitio la guardó sin cuidado. Busca las dos cosas: que no aparezca y que salga como Fuerte.

La comprobación es de contraseñas, no de direcciones de correo. Para ver en qué filtraciones apareció tu correo, búscalo en el propio sitio web de Have I Been Pwned.

Para revisar todas las contraseñas que guardas en lugar de una por una, abre la pestaña Salud del gestor de contraseñas y presiona Buscar filtraciones. Marca cada entrada filtrada con el número de veces que se vio, y también muestra las contraseñas débiles, repetidas y con más de un año.

Otras formas de verificar, y en qué se diferencian

El sitio web de Have I Been Pwned tiene un buscador de contraseñas, y los navegadores revisan las contraseñas que guardan: la Revisión de contraseñas de Chrome y el Monitor de contraseñas de Edge te avisan de las filtradas. Son buenos hábitos, con límites. Un navegador solo revisa lo que guarda, y escribir una contraseña en una página web significa confiar en esa página.

La comprobación de Octoolo funciona con cualquier contraseña que escribas, la guardes donde la guardes, desde un programa en tu propia PC que sigue el método descrito arriba. Además, el gestor de contraseñas revisa todo lo que hay en tu bóveda de una vez. Usa la opción que de verdad vayas a usar: lo importante es reemplazar las contraseñas filtradas.

Uses la que uses, vuelve a verificar de vez en cuando. Las nuevas filtraciones se agregan a la lista a medida que salen a la luz, así que una contraseña que estaba limpia el año pasado puede aparecer hoy.