Перевірка надійності пароля
Введіть пароль і побачите, як швидко його можна вгадати. Перевірка шукає типові хитрощі, як-от заміни в стилі P@ssw0rd, роки та ряди клавіш, і підказує, що змінити. Усе працює на вашому пристрої.
Введіть пароль вище, щоб побачити, наскільки він надійний.
Через Have I Been Pwned. Надсилаються лише перші 5 символів SHA-1-хешу пароля, а не сам пароль.
Zero-Knowledge: перевірка відбувається у вашому браузері. Пароль не залишає пристрій. Необов'язкова перевірка витоків надсилає лише 5 символів хешу.
Що робить пароль надійним
- 15 або більше символів
- Не поширений і не злитий пароль
- Без років, дат, рядів клавіш, послідовностей і повторів
- Немає у витоках даних (увімкніть перевірку вище)
Великі літери, цифри й символи не обов'язкові. Довжина й непередбачуваність важать більше. Так радить NIST SP 800-63B — американський державний стандарт щодо паролів.
Як працює перевірка витоків
Перевірка шукає ваш пароль у Pwned Passwords — безкоштовному списку справжніх паролів, що потрапили у витоки даних. Це частина сервісу Have I Been Pwned, який веде дослідник безпеки Трой Гант. Таку саму перевірку використовують менеджери паролів, як-от 1Password і Bitwarden. Якщо ваш пароль є в цьому списку, він є і в зловмисників, а злиті паролі вони пробують першими.
Що відбувається, коли ви ставите позначку
- Браузер перетворює пароль на SHA-1-хеш — «відбиток» із 40 символів. Той самий пароль завжди дає той самий хеш, але з хешу не можна отримати пароль назад.
- На api.pwnedpasswords.com надсилаються лише перші 5 символів хешу. Пароль і решта хешу залишаються на вашому пристрої.
- Сервіс повертає всі злиті хеші, що починаються з цих 5 символів, — зазвичай близько 2000, — плюс випадкові записи-доповнення, тож навіть розмір відповіді нічого не видає.
- Браузер порівнює решту 35 символів із цим списком на вашому пристрої й показує, скільки разів пароль знайдено. Сервіс так і не дізнається, чи був збіг.
Приклад для пароля «password»:
SHA-1("password") = 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
GET https://api.pwnedpasswords.com/range/5BAA6
У відповіді близько 2000 хешів. Один із них закінчується на 1E4C9B93F3F0682250B6CF8331B7EE68FD8: «password» трапився у витоках понад 52 мільйони разів.
Чому це безпечно
- Пароль не залишає браузер, як і його повний хеш.
- Ті самі перші 5 символів мають тисячі паролів, тож сервіс не знає, який із них ввели ви. Цей метод називають k-анонімністю.
- Перевірка вимкнена за замовчуванням і працює лише після того, як ви поставите позначку. Зніміть її — і запити більше не надсилаються.
- Політика безпеки сторінки (CSP) дозволяє лише одну додаткову адресу: api.pwnedpasswords.com.
Це легко перевірити самостійно. Відкрийте інструменти розробника (F12), вкладку Network (Мережа), і поставте позначку: єдиний новий запит іде на api.pwnedpasswords.com/range/ і 5 символів. Щоб побачити SHA-1 будь-якого тексту, скористайтеся генератором хешів.
Що означає «не знайдено»
«Не знайдено» означає, що пароля немає у відомих списках витоків. Це не означає, що він надійний: короткий чи передбачуваний пароль однаково швидко вгадають, тож дивіться й на оцінку вище. «Знайдено» означає, що пароль треба припинити використовувати всюди, навіть якщо оцінка гарна.
Джерела
Поширені паролі: результати перевірки
Багато перевірок рахують лише довжину й типи символів. Тому P@ssw0rd2026! здається їм надійним. Ось що кажуть такі перевірки і що знаходить ця.
| Пароль | Прості перевірки | Ця перевірка |
|---|---|---|
| password | Середній | Дуже слабкий · Миттєво |
| Password123! | Надійний | Дуже слабкий · 5 секунд |
| qwertyuiop123 | Надійний | Дуже слабкий · 2 секунди |
| P@ssw0rd2026! | Надійний | Слабкий · 17 хвилин |
| Qwerty!2026 | Надійний | Слабкий · 17 хвилин |
| aaaaaaaaaaaaaaaaaaaa | Надійний | Дуже слабкий · Миттєво |
| xK9#mP2$vL7@nQ4! | Надійний | Дуже надійний · Століття |
Час злому розраховано для витоку бази з хешем bcrypt — близько 10 000 спроб на секунду. Для швидкого хешу, як-от MD5, поділіть на мільйон.
Чому більшість перевірок помиляються
Зловмисники не перебирають усі комбінації по черзі. Спершу вони пробують злиті паролі, слова зі словника, імена, роки та ряди клавіш, а потім типові зміни: велику першу літеру чи ! у кінці. Ця перевірка використовує zxcvbn — відкритий інструмент, побудований на тій самій ідеї. Тож оцінка показує, як швидко такі спроби знайдуть ваш пароль.
Пошук шаблонів: знаходить поширені паролі, слова, імена, роки, ряди клавіш, повтори й заміни літер на кшталт P@ssw0rd і показує кожен.
Реальний час злому: показує, скільки протримається пароль у 4 ситуаціях — від сторінки входу з обмеженням спроб до витоку бази зі швидким хешем.
Приватність за замовчуванням: перевірка працює у вашому браузері. Пароль нікуди не надсилається, не записується й не зберігається. Після першої перевірки можна навіть вимкнути Wi-Fi — усе працюватиме.
Перевірка витоків за бажанням: шукає пароль у базі злитих паролів Have I Been Pwned. Надсилається лише 5 символів хешу, тож сервіс не дізнається пароль.
Зрозумілі поради: підказує простими словами, що змінити, за настановами NIST — довжина й непередбачуваність замість правил про символи.
Як перевірити пароль
Введіть або вставте пароль: скористайтеся полем угорі. Натисніть на око, щоб побачити введене.
Подивіться результат: шкала йде від «Дуже слабкий» до «Дуже надійний». Нижче — час злому та шаблони, які зловмисник спробує першими.
Перевірте витоки: поставте позначку «Перевірити також відомі витоки даних». Якщо пароль злили, припиніть його використовувати всюди.
Виправте: скористайтеся порадами або відкрийте генератор паролів і збережіть новий пароль у менеджері паролів.
Часті запитання
Статті на цю тему
За скільки зламають пароль? Реальні цифри на GPU (2026)
Час злому пароля на одній RTX 4090 залежно від довжини, набору символів і хешу (MD5 чи bcrypt). Чесні припущення за таблицею і яка довжина вам потрібна.
Ентропія пароля: чому 12 символів — це мінімум
Ентропія пароля в бітах, скільки біт зловмисник реально перебирає за рік і чому 12 випадкових символів — нижня межа, а NIST вимагає 15.
Як створити надійний пароль: інструкція 2026 року
Як створити надійний пароль: чому довжина важить більше за спецсимволи, що тепер вимагає NIST, реальний час злому на RTX 4090 і коли краща парольна фраза.
Схожі інструменти
Генератор паролів
Генеруйте надійні випадкові паролі миттєво.
Генератор хешів
Хешуйте текст за допомогою MD5, SHA-256, SHA-512 та інших алгоритмів.
Генератор PIN-кодів
Генеруйте захищені цифрові PIN-коди.
Генератор випадкових чисел
Генеруйте випадкові числа у будь-якому діапазоні.
Генератор UUID
Генеруйте UUID v4 для ідентифікаторів і токенів.