Cómo comprobar si tu contraseña se ha filtrado

Las contraseñas aparecen continuamente en filtraciones. La pregunta útil no es si existen las brechas, sino si sabes cuándo una de tus propias contraseñas ya figura en esos datos.

Un test privado responde sin enviar la contraseña. Hashea en local, compara con filtraciones conocidas y decide qué rotar — empezando por el correo si reutilizaste el mismo secreto.

Qué te puede decir una comprobación

Un comprobador compara tu contraseña, de forma segura, con conjuntos de datos filtrados conocidos. Si aparece, trátala como comprometida aunque la brecha sea antigua. Los atacantes siguen rejugando pares viejos.

Una coincidencia no demuestra que alguien esté ahora en la cuenta. Demuestra que ese secreto circula y ya no merece confianza en ningún sitio donde lo usaste.

Qué no te puede decir

• No dice qué sitio filtró ni cuándo.
• No demuestra que ya haya habido un inicio de sesión.
• «No encontrada» no significa que sea fuerte: solo que aún no está en el corpus conocido.
• No ve filtraciones privadas, logs de malware ni brechas aún no publicadas.
• No sustituye contraseñas únicas, MFA ni un gestor.

Cómo hacer una comprobación privada

Abre el comprobador de filtraciones. Escribe la contraseña a probar y pulsa Comprobar. Úsalo para secretos de los que aún dependes: correo, banca, Apple/Google/Microsoft, SSO de trabajo y todo lo que sepas que reutilizaste.

No envíes la contraseña a un sitio al azar, no la pegues en un chatbot ni la mandes a una dirección de «seguridad». Si una herramienta pide la contraseña completa, elige un comprobador con k-anonimato.

Cómo funcionan las comprobaciones que preservan la privacidad

Los buenos comprobadores no envían la contraseña completa. La hashean en el navegador, envían solo los cinco primeros caracteres del hash SHA-1 a Have I Been Pwned y terminan la comparación en tu dispositivo. Eso es k-anonimato.

Con la cabecera Add-Padding, HIBP añade también sufijos con recuento 0 para que el tamaño de la respuesta sea más difícil de interpretar. Esas respuestas contienen un número aleatorio de registros entre 800 y 1.000, no un tamaño fijo.

Si aparece la contraseña

Cámbiala en la cuenta afectada, busca reutilización, empieza por el correo y sustitúyela por un secreto único. La secuencia completa está en Mi contraseña apareció en una filtración. ¿Qué debo hacer?

• Cambia la contraseña de la cuenta que acabas de comprobar.
• Encuentra el resto de sitios donde la reutilizaste: esta es la parte más importante.
• Empieza por el correo, porque puede restablecer lo demás.
• Genera un secreto único con nuestro generador de contraseñas o una frase de paso.

Si no aparece

• Sigue usando una contraseña única por cuenta.
• Comprueba también la fortaleza si es corta o memorable.
• No tomes «no encontrada» como garantía de por vida. Repite la comprobación tras una filtración pública grande, y cuando dudes de un secreto reutilizado.

Haz de la comprobación un hábito

Usa un gestor para no reutilizar. Deja que genere claves aleatorias y frases largas cuando necesites memorizar.

Mantén el comprobador de filtraciones en tu rutina para correo, banca y otras cuentas de alto valor, sobre todo si un servicio que usas anuncia una filtración.