Have I Been Pwned

Have I Been Pwned — сайт, который проверяет, попадал ли ваш адрес электронной почты в утечки данных. Его в 2013 году запустил австралийский специалист по информационной безопасности Трой Хант. С тех пор сервис собрал записи из сотен взломов сайтов, интернет-магазинов, игр и форумов, и им пользуются как обычные люди, так и службы безопасности компаний.

Работает он просто: вы вводите почту и через секунду видите список утечек, в которых она встречается, с датой и перечнем того, что утекло вместе с ней, — пароли, телефоны, имена, адреса. Главное отличие от похожих проверок в браузерах и антивирусах в том, что Have I Been Pwned — первоисточник: многие менеджеры паролей и сервисы мониторинга берут данные именно отсюда.

Что умеет Have I Been Pwned

• Проверка почты — показывает все известные сервису утечки, где встречается адрес. По каждой есть короткое описание: когда произошёл взлом, сколько записей утекло и какие данные пострадали.
• Проверка пароля — отдельный раздел Pwned Passwords говорит, встречался ли пароль в утечках и сколько раз. Если да, им лучше нигде не пользоваться: такие пароли первыми подбирают злоумышленники.
• Уведомления о новых утечках — после подтверждения почты сервис пришлёт письмо, когда ваш адрес найдётся в свежей базе. Это бесплатно и не требует пароля.
• Чувствительные утечки — данные с сайтов, сам факт регистрации на которых может навредить человеку, не показываются в общем поиске. Их видит только владелец почты, подтвердивший адрес.
• Проверка домена — владелец сайта может подтвердить права на домен и увидеть, какие рабочие адреса компании засветились в утечках.
• API для разработчиков — платный доступ, чтобы встраивать проверку в свои сервисы. Бесплатная проверка паролей тоже доступна через API, на ней построены функции в менеджерах паролей.

Сервис не хранит связку «почта + пароль» и не показывает, какой именно пароль утёк вместе с вашим адресом. Это сделано намеренно: сайт отвечает на вопрос «был ли я в утечке», а не выдаёт чужие данные. Поэтому, если почта нашлась в базе, правильный вывод один — сменить пароль на этом сайте и везде, где он повторялся.

При проверке пароля, по словам разработчика, сам пароль на сервер не уходит. Браузер превращает его в хеш — строку-отпечаток, — отправляет только первые несколько символов этого отпечатка и сам сравнивает ответ. Так сервис не узнаёт, какой пароль вы проверяли.

Кому подходит

• Тем, кому пришло подозрительное письмо «мы знаем ваш пароль» или кто заметил вход в аккаунт с чужого устройства, — чтобы понять, откуда могли взять данные.
• Тем, кто много лет пользуется одним паролем на разных сайтах и хочет понять, насколько это опасно прямо сейчас.
• Родителям и тем, кто помогает пожилым родственникам навести порядок с почтой и паролями.
• Владельцам небольших компаний и системным администраторам, которым нужно следить за рабочими адресами сотрудников.
• Разработчикам, которые хотят запретить пользователям ставить пароли из утечек.

Сколько стоит

Для обычного человека всё бесплатно: поиск по почте, проверка паролей, уведомления о новых утечках и просмотр чувствительных утечек для своего адреса. Платная подписка нужна компаниям и разработчикам — для автоматической проверки адресов через API и мониторинга больших доменов. Тарифы зависят от объёма запросов, оплата идёт картой, российские карты для этого не подходят.

Как начать пользоваться

1. Откройте в браузере haveibeenpwned.com — проверьте адрес в строке, у сервиса много подделок с похожими названиями.
2. Введите адрес электронной почты в поле на главной странице и запустите проверку.
3. Прочитайте результат: зелёное сообщение — адреса нет в известных утечках, красное — ниже список взломанных сайтов и того, что утекло.
4. Подпишитесь на уведомления: в меню сайта есть раздел для этого, после ввода почты придёт письмо со ссылкой для подтверждения.
5. Для проверки пароля откройте раздел Pwned Passwords в меню и введите пароль в поле.

Частые вопросы