Guía · 2 min de lectura
Cómo saber si tu contraseña ha sido filtrada, sin revelarla
Puedes comprobar si una contraseña aparece en filtraciones conocidas sin enviarla a nadie. Así funciona la técnica que lo hace posible y qué hacer si aparece.
Última actualización:
Cada año se filtran millones de contraseñas de webs atacadas. Si alguna de las tuyas está en esas listas, los atacantes la probarán en otros servicios con tu correo. Saberlo es útil; el problema es que, para comprobarlo, parece que tendrías que escribir tu contraseña en una web ajena, que es justo lo que no deberías hacer.
Cómo se comprueba sin revelarla
La técnica se llama k-anonimato y la usa el servicio público Have I Been Pwned, que reúne cientos de millones de contraseñas filtradas. Funciona así:
- Tu navegador calcula la huella SHA-1 de la contraseña: una cadena de 40 caracteres que no permite volver a la contraseña original.
- Envía solo los 5 primeros caracteres de esa huella.
- El servicio responde con todas las huellas filtradas que empiezan por esos 5 caracteres: suelen ser cientos.
- Tu navegador busca la tuya en esa lista, en tu dispositivo.
El servicio nunca recibe la contraseña ni su huella completa, y no puede saber cuál de los cientos de resultados te interesaba.
Cómo hacerlo
Escribe la contraseña en Auditar contraseñas y pulsa el botón de comprobar filtraciones. Es la única parte de la herramienta que usa internet, y solo cuando tú lo pides. El análisis de fortaleza, en cambio, funciona sin conexión.
Si prefieres no escribir tu contraseña en ningún sitio, aunque no salga de tu navegador, es una postura razonable. En ese caso, revisa en Have I Been Pwned si tu correo aparece en alguna filtración: te dirá de qué servicios y te dará una idea de qué contraseñas cambiar.
Si aparece en una filtración
- Cámbiala en todos los sitios donde la uses, empezando por el correo, que es la llave del resto: con él se pueden restablecer las demás.
- No uses una variación. «Contraseña2024» después de «Contraseña2023» es lo primero que prueban.
- Activa la verificación en dos pasos donde se pueda, mejor con una app de autenticación que con SMS.
- Usa un gestor de contraseñas para tener una distinta en cada servicio sin tener que recordarlas.
Por qué importa aunque la web filtrada no te importe
La mayoría de los accesos indebidos a cuentas no vienen de adivinar contraseñas, sino de reutilizarlas: una contraseña filtrada de un foro olvidado se prueba automáticamente en bancos, tiendas y correos. Una contraseña única por servicio convierte una filtración en un problema pequeño en lugar de en una cadena.