Comprobador gratis de contraseñas y correos filtrados
Averigua si tu contraseña ha aparecido en filtraciones de datos conocidas y si tu correo fue hackeado o filtrado. Dos comprobaciones, dos modelos de privacidad distintos — ambas explicadas con honestidad a continuación.
1. Comprobación de contraseña
Tu contraseña se hashea (SHA-1) en tu navegador. Solo los primeros 5 caracteres del hash salen de tu dispositivo — la contraseña nunca toca la red.
Cómo funciona (k-anonimato)
Al enviar, tu navegador calcula localmente el hash SHA-1 de la contraseña con la Web Crypto API. Luego envía solo los primeros 5 caracteres del hash a la API Pwned Passwords de HaveIBeenPwned, que responde con todos los sufijos de hashes filtrados que comparten ese prefijo. Tu navegador coteja el resto de tu hash localmente. La API nunca conoce tu contraseña ni tu hash completo.
2. Comprobación de correo
A diferencia de la comprobación de contraseña, tu dirección de correo sí se envía por HTTPS a la API de XposedOrNot para ejecutar la búsqueda. Así funciona esta comprobación — y lo decimos claramente.
Datos de filtraciones: XposedOrNot (comprobación de correo) y HaveIBeenPwned (contraseñas)
¿Qué es una filtración de datos y por qué debería importarte?
Una filtración de datos ocurre cuando se extrae información de un sistema sin permiso — normalmente la base de datos de usuarios de una empresa hackeada y publicada en internet. Las filtraciones han expuesto miles de millones de cuentas en la última década: correos, contraseñas (a menudo mal hasheadas o en texto plano), nombres, teléfonos y a veces datos de pago. Cuando tus credenciales aparecen en una filtración, pasan a listas que los atacantes usan en ataques de credential stuffing — probando automáticamente tu combinación de correo y contraseña en cientos de otras webs.
Esta herramienta comprueba tu exposición de dos formas. La comprobación de contraseña compara el hash SHA-1 con el corpus de Pwned Passwords de HaveIBeenPwned: más de 600 millones de contraseñas recopiladas de filtraciones reales. La comprobación de correo pregunta a XposedOrNot en qué bases de filtraciones conocidas aparece tu dirección, para que veas exactamente qué servicios filtraron tus datos y cambies esas contraseñas primero.
La comprobación de contraseña se basa en una técnica de privacidad llamada k-anonimato: tu
navegador hashea la contraseña, envía solo un prefijo de 5 caracteres del hash y coteja el
resto localmente contra la respuesta de la API. Como miles de hashes comparten cualquier
prefijo, la API no puede determinar qué contraseña comprobaste. Tu contraseña nunca sale de tu
navegador — no es un eslogan de marketing, es cómo funciona el código, y puedes verificarlo en
la pestaña de red de tu navegador: verás una petición a
api.pwnedpasswords.com/range/XXXXX y nada que contenga tu contraseña.
Una advertencia honesta: estas comprobaciones solo cubren filtraciones conocidas. Un resultado de "no encontrada" significa que tu contraseña o correo no está en los datasets públicos que indexan estas APIs — no es una garantía de seguridad. Uses o no esta herramienta, emplea contraseñas únicas por sitio y un gestor de contraseñas.
Preguntas frecuentes
¿Es seguro escribir aquí mi contraseña real?
La contraseña se hashea (SHA-1) en tu navegador antes de enviar nada, y a la API solo llega un prefijo de 5 caracteres del hash. La API ve un prefijo compartido por cientos de hashes y devuelve todas las coincidencias; tu navegador localiza la tuya. Aun así, si prefieres prudencia, comprueba una contraseña que estés considerando, no tu contraseña maestra.
¿Qué significa "encontrada en X filtraciones"?
Que esa contraseña exacta ha aparecido X veces en las bases de filtraciones recopiladas por HaveIBeenPwned. Cuanto mayor sea el número, más conocida es la contraseña y más probable que los atacantes la prueben en ataques automáticos. Cualquier cifra superior a cero es motivo para dejar de usarla.
¿Por qué la comprobación de correo envía mi correo a un servidor?
Para saber si tu dirección aparece en listas de filtraciones hay que buscar en esas listas, y no existe un truco de k-anonimato para búsquedas exactas de correo. Tu dirección viaja por HTTPS a XposedOrNot, que ejecuta la comprobación. Si no te parece aceptable, omite la comprobación de correo.
Mi correo aparece en un servicio que nunca usé. ¿Cómo es posible?
Las bases de filtraciones suelen contener correos recopilados de listas de spam agregadas, listas combinadas o filtraciones de terceros, no solo los registros del propio servicio. Tu dirección pudo inclusionarse sin tener cuenta. Tómalo como señal de que la dirección circula, y evita reutilizar contraseñas.
¿Qué hago si mi correo aparece en filtraciones?
Cambia la contraseña de cada servicio listado (y de donde la hayas reutilizado), activa la autenticación en dos pasos y considera un gestor de contraseñas para que cada cuenta tenga una contraseña única. Empieza por los servicios filtrados — son los puntos de exposición conocidos.