Каталог

Have I Been Pwned: проверка утечек

Have I Been Pwned: проверка утечек
Почта и телефонОткрыть в Telegram

Have I Been Pwned (HIBP) — сервис, который собирает данные из публичных утечек и позволяет проверить, встречается ли в них ваш адрес или пароль. Это инструмент самопроверки, а не поиска по чужим людям.

Коротко

  • Адрес почты: введите свой адрес на сайте и посмотрите список утечек, в которых он есть.
  • Пароль: пароль проверяют через Pwned Passwords. Он хэшируется, и сервис получает только начало хэша.
  • Уведомления: Notify Me присылает письмо, если ваш адрес появится в новой утечке.
  • Цена: проверка на сайте не требует ключа API. Для API по адресам почты нужен платный ключ, для API паролей ключ не нужен.

Как пользоваться

  1. Откройте haveibeenpwned.com, введите свой адрес и посмотрите, в каких утечках он есть. Пароли рядом с адресами сервис не хранит.
  2. Если нашли: смените пароль на затронутом сайте и везде, где он повторялся, включите двухфакторную защиту, проверьте письма о входе.
  3. Подпишитесь на Notify Me. Уведомления приходят только на проверяемый адрес, поэтому следить за чужим адресом нельзя.
  4. Так называемые чувствительные утечки (где сам факт попадания может навредить человеку) публично не ищутся. Их владелец видит после входа по ссылке из письма.

API для паролей

Пароль не уходит в сервис целиком: вы считаете SHA-1, отправляете первые пять символов и сами ищете остаток. Пример (пароль password, цифра в конце — число утечек на момент проверки):

Терминал
$ printf 'password' | shasum -a 1
5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8
$ curl https://api.pwnedpasswords.com/range/5BAA6 | grep 1E4C9B93F3F0682250B6CF8331B7EE68FD8
1E4C9B93F3F0682250B6CF8331B7EE68FD8:52372427

В ответе все суффиксы с таким началом и число случаев. Ключ API для этого запроса не нужен, лимита нет. Заголовок Add-Padding: true добавляет в ответ заполнение.

Для проверки адресов по API нужен платный ключ в заголовке hibp-api-key и обязательный заголовок user-agent. Адрес GET /api/v3/breachedAccount/{email} возвращает 404, если адреса нет в утечках.

Как читать результат

  • «Найден в утечке» значит, что данные были в слитой базе. Это не значит, что взломан именно ваш аккаунт сегодня.
  • Смена пароля не убирает запись об утечке из истории: так задумано.
  • Если пароль встретился в базе паролей, он уже в словарях злоумышленников. Не используйте его нигде.
  • Отсутствие адреса в списке не гарантирует безопасности: утечки бывают неизвестные.

Подводные камни

  • Чужие адреса. Ищите только свои, а чужие данные из утечек не используйте для поиска человека.
  • Подделки. Письма «ваш адрес найден в утечке, перейдите по ссылке» бывают фишингом. Открывайте сайт вручную.
  • Скрытие. Если не хотите, чтобы адрес публично показывался в утечках, у сервиса есть opt-out.

Дальше

Как проверить email и номер, Holehe: где зарегистрирован адрес.

Проверено 25 октября 2026 года: страницы FAQ и документации API Have I Been Pwned, пример Pwned Passwords снят реальным запросом.

Предложить статьюНапиши, какую статью добавить