Verificação de vazamento de senha

Uma verificação de vazamento de senha faz uma pergunta a um banco de dados que nenhum chatbot consegue responder: esta senha já apareceu em um vazamento de dados conhecido? Digite uma senha e esta página calcula o hash dela no seu navegador, envia apenas os 5 primeiros caracteres do hash ao serviço Pwned Passwords do Have I Been Pwned e diz quantas vezes a senha foi vista em vazamentos reais — a senha em si nunca sai desta página. Você também pode verificar até 50 senhas de uma vez, ou enviar um arquivo de hashes SHA-1. O guia complementar, sua senha está em um vazamento de dados?, explica o que o número significa e o que fazer em seguida; para começar do zero, use o Gerador de senhas, e para encontrar credenciais expostas em um site ativo, o Verificador de segredos vazados.

Última atualização: 9 de novembro de 2026

Sua senha nunca sai desta página

Esta página calcula o hash da sua senha no seu navegador com SHA-1 e envia apenas os 5 primeiros caracteres do hash ao Have I Been Pwned. A senha em si — e até mesmo o seu hash completo — nunca sai do seu dispositivo, nunca é armazenada e nunca é registrada. O serviço responde com todos os sufixos de hash que compartilham esses 5 caracteres, e a correspondência é feita aqui, no seu dispositivo. Leia como o modelo funciona em haveibeenpwned.com/Passwords.

Verificar uma senha

Senha a verificar

Verificar muitas de uma vez

Senhas, uma por linha (até 50)

Duplicatas são verificadas uma só vez. Os resultados mostram apenas um número (#1, #2…) — nunca a senha em si. A exportação CSV contém apenas rótulos e contagens.

Os limites honestos

Isto verifica apenas o corpus de vazamentos do Pwned Passwords — senhas coletadas de centenas de vazamentos de dados conhecidos. “Não encontrada” significa “não vista em vazamentos conhecidos”, não “segura”.

Nenhuma consulta de vazamento por e-mail é oferecida aqui: a API de vazamento por e-mail do Have I Been Pwned é um serviço de assinatura paga, por isso esta página não a promete de graça.

Dados de vazamentos: Have I Been Pwned — Pwned Passwords (haveibeenpwned.com/Passwords).

O que é um corpus de vazamentos — e o que o número significa

Um corpus de vazamentos é uma coleção de senhas colhidas de vazamentos de dados reais: quando um serviço é violado e seu banco de dados de senhas vaza, as senhas nele contidas — geralmente armazenadas como hashes — são coletadas, deduplicadas e indexadas para que qualquer pessoa possa perguntar se uma determinada senha está entre elas. O corpus Pwned Passwords do Have I Been Pwned contém mais de um bilhão de senhas de centenas de vazamentos, e continua crescendo à medida que novos vazamentos surgem. Essa escala é todo o sentido da verificação: uma senha que você inventou em cinco segundos muito provavelmente já foi inventada, exatamente igual, por milhares de outras pessoas — e se ela já esteve em um banco de dados vazado, os invasores já a têm em uma lista, pronta para testar em cada página de login que conseguirem alcançar.

A verificação funciona sem nunca revelar a senha, graças a um truque chamado k-anonimato. Sua senha é transformada em hash no navegador com SHA-1, produzindo uma impressão digital de 40 caracteres; apenas os 5 primeiros caracteres dessa impressão são enviados ao serviço. O serviço devolve todos os sufixos de impressão que compartilham esses 5 caracteres — normalmente cerca de oitocentos — e o seu navegador procura o próprio sufixo nessa lista, localmente. Cinco caracteres bastam para esconder uma senha entre centenas de parecidas, e são poucos o suficiente para que o serviço nunca saiba qual senha você perguntou. A senha em si nunca cruza a rede, nunca toca um registro do servidor e nunca aparece em uma URL.

Encontrada, não encontrada — e o que fazer em seguida

Uma contagem acima de zero significa que a senha foi vista em vazamentos esse número de vezes. Uma contagem em milhões — “password” foi vista mais de cinquenta milhões de vezes — significa que é uma das primeiras tentativas em cada ataque de credential stuffing, e deve ser trocada em todos os lugares onde é usada, começando pelo e-mail e pelo banco. Uma contagem pequena também não é aprovação: mesmo uma única aparição significa que a senha está na lista de palavras de um invasor, e provavelmente também é sinal de que ela segue um padrão adivinhável — um nome mais um ano, um passeio pelo teclado, uma frase comum com um dígito trocado. A solução é a mesma nos dois casos: substitua-a por uma senha única que você nunca usou em nenhum outro lugar, gerada pelo Gerador de senhas e guardada em um gerenciador de senhas, não na sua cabeça nem em um arquivo de notas.

Uma contagem de zero é uma boa notícia com um limite estrito: a senha não foi vista nos vazamentos que este corpus conhece. Isso não diz nada sobre se a senha é forte, adivinhável ou se já está em um vazamento que ainda não veio à tona. Uma senha curta e familiar pode estar ausente do corpus e ainda assim cair diante de um ataque de adivinhação em minutos, e uma senha reutilizada em dez sites está a um vazamento de perder os dez. Trate “não encontrada” como permissão para manter uma senha somente se ela também for longa, aleatória e usada em exatamente um lugar. Se falhar em qualquer um desses três testes, troque-a mesmo assim — a verificação fala sobre exposição, não sobre força.

Nunca cole uma senha em um chatbot ou assistente de IA para perguntar se ela é segura. Um chat mantém uma transcrição: sua senha ficaria armazenada nos servidores de outra pessoa, seria usada para treinar ou ajustar modelos e possivelmente citada de volta em uma resposta posterior — exatamente o oposto do que uma verificação de vazamento busca. A mesma regra vale para qualquer site que peça para você digitar uma senha em seu formulário e prometa julgá-la: a menos que a página calcule o hash localmente e mostre o mecanismo, como esta faz, presuma que a senha está sendo enviada e armazenada. Uma verificação de vazamento vale a pena justamente porque pode ser feita sem entregar o segredo a ninguém, e essa propriedade merece ser protegida mesmo quando a pergunta parece pequena.

A verificação, em termos simples

K-anonimato	Apenas os 5 primeiros caracteres do hash da senha saem do navegador. O serviço não consegue saber qual das centenas de senhas que compartilham esse prefixo você perguntou.
Hash SHA-1	Uma impressão digital de 40 caracteres da senha, calculada no seu navegador. A mesma senha sempre produz a mesma impressão, e a impressão não pode ser revertida para a senha.
Corpus Pwned Passwords	Mais de um bilhão de senhas coletadas de centenas de vazamentos de dados conhecidos, mantido pelo Have I Been Pwned e atualizado à medida que novos vazamentos surgem.
API de intervalo	O endpoint público, gratuito e sem chave do HIBP que esta página chama: dado um prefixo de 5 caracteres, ele devolve cada sufixo correspondente com sua contagem de vazamentos, uma linha SUFFIX:count cada.
Contagem de vazamentos	Quantas vezes a senha foi vista no corpus. Uma contagem de 1 já significa que ela está na lista de palavras de um invasor; milhões significam que está entre as primeiras tentativas.
Não encontrada	O sufixo do hash da senha está ausente do intervalo devolvido — ela não foi vista em vazamentos conhecidos. Não é um veredito de que a senha seja forte ou segura.
Colagem em lote	Até 50 senhas, uma por linha. Duplicatas são verificadas uma vez, senhas que compartilham um prefixo de 5 caracteres compartilham uma requisição, e os resultados mostram apenas números — nunca as senhas.
Arquivo de hashes	Até 500 hashes SHA-1, um por linha, para verificar senhas que você nem quer digitar. Linhas inválidas são listadas como ignoradas; os resultados mostram um hash truncado.
Exportação CSV	Os resultados em lote como planilha: apenas rótulo mascarado e contagem de vazamentos. Nenhuma senha em texto simples e nenhum hash completo jamais chega ao arquivo baixado.
Vazamentos por e-mail	Não oferecidos aqui. Saber se um endereço de e-mail aparece em vazamentos exige a API de e-mail paga do HIBP, por isso esta página não promete nenhuma consulta gratuita por e-mail.

Perguntas frequentes

Minha senha é enviada ao Have I Been Pwned?

Não. Seu navegador transforma a senha em hash com SHA-1 e envia apenas os 5 primeiros caracteres do hash. O serviço devolve centenas de sufixos correspondentes e seu navegador verifica o próprio sufixo localmente. A senha em si — e até mesmo o seu hash completo — nunca sai desta página, nunca é armazenada e nunca é registrada.

O que significa “encontrada 52 milhões de vezes”?

Significa que essa senha exata apareceu em bancos de dados vazados 52 milhões de vezes, em muitos vazamentos e contas diferentes. É uma das primeiras tentativas em cada ataque de credential stuffing, em que senhas roubadas são testadas automaticamente em páginas de login. Troque-a em todos os lugares onde é usada, começando pelo seu e-mail e pelo seu banco, e nunca a reutilize.

Minha senha não foi encontrada. Já é segura?

Não necessariamente. “Não encontrada” significa apenas que ela não foi vista nos vazamentos que este corpus conhece. Uma senha curta ou previsível pode estar ausente do corpus e ainda assim cair diante de adivinhação em minutos, e uma senha reutilizada em vários sites está a um vazamento de perder todos eles. Mantenha-a somente se for longa, aleatória e usada em exatamente um lugar.

Por que não posso verificar um endereço de e-mail aqui?

Verificar se um endereço de e-mail aparece em vazamentos usa um serviço HIBP diferente — a API de vazamento por e-mail — que é uma assinatura paga. Esta página usa apenas a API de intervalo gratuita do Pwned Passwords, que verifica senhas, não endereços de e-mail, e seria desonesto prometer a consulta por e-mail de graça.

Minha senha foi encontrada em um vazamento. O que faço primeiro?

Troque-a em todos os lugares onde você a usa, começando pelas contas que protegem as outras — primeiro o seu e-mail, depois o banco e os caminhos de recuperação de senha — e nunca reutilize a senha antiga em lugar nenhum. Gere uma substituta nova e única com o Gerador de senhas e guarde-a em um gerenciador de senhas. Se a mesma senha protegia várias contas, trate todas como expostas, porque os invasores testam uma senha vazada em cada serviço que conseguem alcançar.