Comprobación de filtración de contraseñas
Una comprobación de filtración de contraseñas hace una pregunta a una base de datos que ningún chatbot puede responder: ¿ha aparecido esta contraseña en una filtración de datos conocida? Escribe una contraseña y esta página la convierte en hash en tu navegador, envía solo los primeros 5 caracteres del hash al servicio Pwned Passwords de Have I Been Pwned, y te dice cuántas veces se ha visto la contraseña en filtraciones reales — la contraseña en sí nunca sale de esta página. También puedes comprobar hasta 50 contraseñas a la vez, o subir un archivo de hashes SHA-1. La guía complementaria, ¿está tu contraseña en una filtración de datos?, explica qué significa el número y qué hacer después; para empezar de cero, usa el Generador de contraseñas, y para encontrar credenciales expuestas en un sitio activo, el Escáner de secretos filtrados.
Última actualización:
Tu contraseña nunca sale de esta página
Esta página convierte tu contraseña en hash en tu navegador con SHA-1 y envía solo los primeros 5 caracteres del hash a Have I Been Pwned. La contraseña en sí — e incluso su hash completo — nunca sale de tu dispositivo, nunca se almacena y nunca se registra. El servicio responde con todos los sufijos de hash que comparten esos 5 caracteres, y la coincidencia se hace aquí, en tu dispositivo. Lee cómo funciona el modelo en haveibeenpwned.com/Passwords.
Comprobar una contraseña
Comprobar muchas a la vez
Las duplicadas se comprueban una sola vez. Los resultados muestran solo un número (#1, #2…) — nunca la contraseña en sí. La exportación CSV contiene solo etiquetas y recuentos.
Un archivo de texto con un hash SHA-1 de 40 caracteres por línea, hasta 500 líneas. Las líneas que no son hashes válidos se enumeran como omitidas, nunca se descartan en silencio. Los resultados muestran un hash truncado, nunca el completo.
O suelta el archivo en cualquier parte de este cuadro. Límite: 2 MB. El archivo se lee solo en este dispositivo y nunca se sube.
Resultados
Los límites honestos
Esto comprueba únicamente el corpus de filtraciones de Pwned Passwords — contraseñas recogidas de cientos de filtraciones de datos conocidas. “No encontrada” significa “no vista en filtraciones conocidas”, no “segura”.
Aquí no se ofrece ninguna búsqueda de filtraciones por correo: la API de filtraciones por correo de Have I Been Pwned es un servicio de suscripción de pago, así que esta página no lo promete gratis.
Datos de filtraciones: Have I Been Pwned — Pwned Passwords (haveibeenpwned.com/Passwords).
Qué es un corpus de filtraciones — y qué significa el número
Un corpus de filtraciones es una colección de contraseñas cosechadas de filtraciones de datos reales: cuando un servicio sufre una filtración y su base de datos de contraseñas se filtra, las contraseñas que contiene — normalmente guardadas como hashes — se recogen, se deduplican y se indexan para que cualquiera pueda preguntar si una contraseña determinada está entre ellas. El corpus Pwned Passwords de Have I Been Pwned contiene más de mil millones de contraseñas de cientos de filtraciones, y sigue creciendo a medida que surgen nuevas filtraciones. Esa escala es todo el sentido de comprobar: una contraseña que inventaste en cinco segundos es muy probable que ya la hayan inventado, exactamente igual, miles de personas — y si alguna vez estuvo en una base de datos filtrada, los atacantes ya la tienen en una lista, lista para probarla en cada página de inicio de sesión que puedan alcanzar.
La comprobación funciona sin revelar nunca la contraseña, gracias a un truco llamado k-anonimato. Tu contraseña se convierte en hash en el navegador con SHA-1, produciendo una huella de 40 caracteres; solo los primeros 5 caracteres de esa huella se envían al servicio. El servicio devuelve todos los sufijos de huella que comparten esos 5 caracteres — normalmente unos ochocientos — y tu navegador busca su propio sufijo en esa lista, localmente. Cinco caracteres bastan para esconder una contraseña entre cientos de parecidas, y son tan pocos que el servicio nunca sabe qué contraseña preguntaste. La contraseña en sí nunca cruza la red, nunca toca un registro del servidor y nunca aparece en una URL.
Encontrada, no encontrada — y qué hacer después
Un recuento mayor que cero significa que la contraseña se ha visto en filtraciones esa cantidad de veces. Un recuento de millones — “password” se ha visto más de cincuenta millones de veces — significa que es una de las primeras conjeturas en cada ataque de relleno de credenciales, y debe cambiarse en todos los lugares donde se usa, empezando por el correo y la banca. Un recuento pequeño tampoco es un aprobado: incluso una sola aparición significa que la contraseña está en la lista de palabras de un atacante, y probablemente también sea señal de que sigue un patrón adivinable — un nombre más un año, un paseo por el teclado, una frase común con un dígito cambiado. La solución es la misma en ambos casos: sustitúyela por una contraseña única que nunca hayas usado en ningún otro sitio, generada con el Generador de contraseñas y guardada en un gestor de contraseñas, no en tu cabeza ni en un archivo de notas.
Un recuento de cero es una buena noticia con un límite estricto: la contraseña no se ha visto en las filtraciones que este corpus conoce. No dice nada sobre si la contraseña es fuerte, adivinable o ya está en una filtración que aún no ha salido a la luz. Una contraseña corta y familiar puede estar ausente del corpus y aun así caer ante un ataque de adivinación en minutos, y una contraseña reutilizada en diez sitios está a una filtración de perder los diez. Trata “no encontrada” como permiso para conservar una contraseña solo si además es larga, aleatoria y se usa en un único lugar. Si falla cualquiera de esas tres pruebas, cámbiala igualmente — la comprobación te habla de exposición, no de fortaleza.
Nunca pegues una contraseña en un chatbot o un asistente de IA para preguntar si es segura. Un chat guarda una transcripción: tu contraseña quedaría almacenada en los servidores de otra persona, se usaría para entrenar o ajustar modelos, y posiblemente se citaría en una respuesta posterior — exactamente lo contrario de lo que busca una comprobación de filtraciones. La misma regla se aplica a cualquier sitio web que te pida escribir una contraseña en su formulario y prometa juzgarla: a menos que la página calcule el hash localmente y te muestre el mecanismo, como hace esta, da por hecho que la contraseña se está enviando y almacenando. Una comprobación de filtraciones merece la pena precisamente porque se puede hacer sin entregar el secreto a nadie, y esa propiedad merece protegerse aunque la pregunta parezca pequeña.
La comprobación, en términos sencillos
| K-anonimato | Solo los primeros 5 caracteres del hash de la contraseña salen del navegador. El servicio no puede saber cuál de los cientos de contraseñas que comparten ese prefijo preguntaste. |
| Hash SHA-1 | Una huella de 40 caracteres de la contraseña, calculada en tu navegador. La misma contraseña siempre produce la misma huella, y la huella no puede invertirse para obtener la contraseña. |
| Corpus Pwned Passwords | Más de mil millones de contraseñas recogidas de cientos de filtraciones de datos conocidas, mantenido por Have I Been Pwned y actualizado a medida que surgen nuevas filtraciones. |
| API de rangos | El endpoint público, gratuito y sin clave de HIBP que usa esta página: dado un prefijo de 5 caracteres, devuelve cada sufijo coincidente con su recuento de filtraciones, una línea SUFFIX:count cada uno. |
| Recuento de filtraciones | Cuántas veces se ha visto la contraseña en el corpus. Un recuento de 1 ya significa que está en la lista de palabras de un atacante; millones significa que está entre las primeras conjeturas probadas. |
| No encontrada | El sufijo del hash de la contraseña no está en el rango devuelto — no se ha visto en filtraciones conocidas. No es un veredicto de que la contraseña sea fuerte o segura. |
| Pegado en lote | Hasta 50 contraseñas, una por línea. Las duplicadas se comprueban una vez, las contraseñas que comparten un prefijo de 5 caracteres comparten una petición, y los resultados muestran solo números — nunca las contraseñas. |
| Archivo de hashes | Hasta 500 hashes SHA-1, uno por línea, para comprobar contraseñas que no quieres escribir en absoluto. Las líneas no válidas se enumeran como omitidas; los resultados muestran un hash truncado. |
| Exportación CSV | Los resultados en lote como hoja de cálculo: solo etiqueta enmascarada y recuento de filtraciones. Ninguna contraseña en texto plano ni ningún hash completo llega jamás al archivo descargado. |
| Filtraciones por correo | No se ofrecen aquí. Saber si una dirección de correo aparece en filtraciones necesita la API de correo de pago de HIBP, así que esta página no promete ninguna búsqueda gratuita por correo. |
Preguntas frecuentes
¿Se envía mi contraseña a Have I Been Pwned?
No. Tu navegador convierte la contraseña en hash con SHA-1 y envía solo los primeros 5 caracteres del hash. El servicio devuelve cientos de sufijos coincidentes y tu navegador comprueba su propio sufijo localmente. La contraseña en sí — e incluso su hash completo — nunca sale de esta página, nunca se almacena y nunca se registra.
¿Qué significa “encontrada 52 millones de veces”?
Significa que esa contraseña exacta ha aparecido en bases de datos filtradas 52 millones de veces, en muchas filtraciones y cuentas distintas. Es una de las primeras conjeturas en cada ataque de relleno de credenciales, donde las contraseñas robadas se prueban automáticamente en páginas de inicio de sesión. Cámbiala en todos los lugares donde se usa, empezando por tu correo y tu banca, y nunca la reutilices.
Mi contraseña no se encontró. ¿Ya es segura?
No necesariamente. “No encontrada” significa solo que no se ha visto en las filtraciones que este corpus conoce. Una contraseña corta o predecible puede estar ausente del corpus y aun así caer ante la adivinación en minutos, y una contraseña reutilizada en varios sitios está a una filtración de perderlos todos. Consérvala solo si es larga, aleatoria y se usa en un único lugar.
¿Por qué no puedo comprobar una dirección de correo aquí?
Comprobar si una dirección de correo aparece en filtraciones usa un servicio HIBP distinto — la API de filtraciones por correo — que es una suscripción de pago. Esta página solo usa la API de rangos gratuita de Pwned Passwords, que comprueba contraseñas, no direcciones de correo, y sería deshonesto prometer la búsqueda por correo gratis.
Mi contraseña se encontró en una filtración. ¿Qué hago primero?
Cámbiala en todos los lugares donde la usas, empezando por las cuentas que protegen a las demás — primero tu correo, luego la banca y las rutas de recuperación de contraseña — y nunca reutilices la contraseña antigua en ningún sitio. Genera un reemplazo nuevo y único con el Generador de contraseñas y guárdalo en un gestor de contraseñas. Si la misma contraseña protegía varias cuentas, trata todas como expuestas, porque los atacantes prueban una contraseña filtrada en cada servicio que pueden alcanzar.