密碼強度・外洩檢測 / 產生
測量密碼強度（熵值與預估破解時間），透過 Have I Been Pwned 檢查密碼是否出現在過去的外洩資料中，並產生安全的密碼。強度計算與產生均在瀏覽器內完成，外洩檢測也不會傳送密碼本身。
- 傳送
- 強度計算不傳送任何內容
- 儲存
- 不儲存
- 外部API
- 僅在外洩檢查時，向HIBP傳送雜湊前5個字元
- 對象
- 不連線任何外部對象
詳細說明
- 強度計算與密碼產生只在瀏覽器內進行。
- 外洩檢查僅在按下按鈕時執行。瀏覽器只將密碼SHA-1雜湊的前5個字元直接傳送到Have I Been Pwned（api.pwnedpasswords.com），並在瀏覽器內與回傳的候選值比對（k-匿名）。密碼本身與完整雜湊不會傳送。
- HIBP會收到這5個字元與你的IP位址，不經過本站伺服器。
- 頁面本身的瀏覽會記錄在存取紀錄中（IP位址、時間、使用者代理等）。工具頁面不載入廣告與流量分析。 隱私權政策
檢測強度
原理：僅在你點選按鈕時，瀏覽器用 SHA-1 對密碼做雜湊，只把雜湊的前 5 個字元傳送到 Have I Been Pwned。比對同樣在瀏覽器內完成，因此密碼和完整雜湊都不會被傳送，也不經過本站伺服器。HIBP 收到的是這 5 個字元和你的 IP 位址。
正在使用的密碼，用儲存它的密碼管理器或瀏覽器內建的檢查功能來查更安全。 如何確認密碼是否外洩 / 密碼管理器安全嗎？
產生安全的密碼
使用方法
- 1
在上方輸入欄中輸入密碼，即可查看其熵值（bits）、強度與預估破解時間。
- 2
點選「與外洩資料比對」，即可確認該密碼是否包含在 Have I Been Pwned 的 Pwned Passwords（過去的外洩資料）中。
- 3
使用下方的產生器，依長度和字元種類建立並複製安全的密碼。
- 4
重要帳戶請使用產生的長密碼 + 密碼管理器 + 多因素驗證來保護。
為什麼重要
常見問題
Q我輸入的密碼會被傳送出去嗎？
密碼本身不會被傳送。強度計算與產生均在瀏覽器內完成。只有在你點選外洩檢測按鈕時，才會把雜湊的前 5 個字元傳送到 Have I Been Pwned（見下一個問題）。
Q「預估破解時間」有多準確？
它會因攻擊者的算力和雜湊方式而大幅變化，因此僅供參考。這裡假設的是高速離線暴力破解（每秒約 100 億次）。熵值（bits）是更客觀的指標。
Q外洩檢測是什麼原理？安全嗎？
採用的是 k-匿名方式。瀏覽器用 SHA-1 對密碼做雜湊，只傳送前 5 個字元，Have I Been Pwned 會回傳以這 5 個字元開頭的數百個雜湊，是否有相符的項目在瀏覽器內比對。因此 HIBP 和本站都無法得知你查詢的是哪個密碼。HIBP 收到的是這 5 個字元和你的 IP 位址。傳送的內容可以在瀏覽器開發人員工具的「網路」面板中確認。
Q顯示「未找到」就安全嗎？
不一定。這裡只包含已經流出的外洩資料。較短的密碼或僅由單字組合的密碼，即使從未外洩也可能被猜中。請同時參考強度結果，並為每個網站使用不同的長密碼。