בדיקת דליפת סיסמה
מקלידים סיסמה ובודקים כמה פעמים היא הופיעה בדליפות מידע מוכרות. הסיסמה המלאה לעולם לא עוזבת את הדפדפן שלכם: היא מחושבת מקומית לגיבוב SHA‑1, וממנו נשלחים רק 5 התווים הראשונים למאגר Have I Been Pwned. ההתאמה הסופית נעשית אצלכם. זו בדיקה בטוחה, כי היא על סוד שבידיכם.
רץ בדפדפן שלכם. הסיסמה נשארת בדפדפן. נשלחים ל־Have I Been Pwned רק 5 התווים הראשונים של גיבוב ה־SHA‑1 שלה (שיטת k‑anonymity), ומהתשובה אתם מסמנים אצלכם אם יש התאמה. אנחנו לא רואים ולא שומרים את הסיסמה.
איך זה עובד
מקלידים סיסמה
אפשר להקליד כל סיסמה שבא לכם לבדוק. היא לא נשלחת לשום מקום במלואה.
בודקים
הדפדפן מחשב גיבוב SHA‑1 ושולח רק 5 תווים ממנו למאגר הדליפות.
רואים את התוצאה
כמה פעמים הסיסמה הופיעה בדליפות, ומה כדאי לעשות.
למה הבדיקה בטוחה
אנחנו לא שולחים את הסיסמה. הדפדפן מחשב ממנה גיבוב SHA‑1 (מחרוזת של 40 תווים), שולח למאגר רק את 5 התווים הראשונים, ומקבל בחזרה רשימה של כל הסיומות שמתחילות באותם 5 תווים. ההשוואה לסיומת המלאה נעשית אצלכם בדפדפן.
השיטה נקראת k‑anonymity: המאגר מקבל קבוצה של אלפי גיבובים אפשריים ולא יכול לדעת מי מהם שלכם. זו הדרך המקובלת והבטוחה לבדוק סיסמאות מול דליפות.
מקורות: Have I Been Pwned: Pwned Passwords · Cloudflare: k‑anonymity ו־HIBP
מה אומר המספר שחוזר
אם סיסמה מופיעה גם פעם אחת ברשימה, היא כבר נמצאת במילוני תקיפה שבהם תוקפים משתמשים. ככל שהמספר גבוה יותר, הסיסמה נפוצה ומסוכנת יותר. 0 אומר שהיא לא הופיעה בדליפות שבמאגר, אבל זו לא ערובה שהיא חזקה.
אם הסיסמה דלפה, החליפו אותה בכל מקום שבו השתמשתם בה, והפעילו אימות דו‑שלבי. אל תשתמשו שוב בסיסמה שדלפה, גם לא בגרסה עם ספרה בסוף.
מקורות: NIST SP 800‑63B: סיסמאות
איך בוחרים סיסמה טובה
- משתמשים במנהל סיסמאות וייצרים סיסמה אקראית וארוכה לכל אתר.
- סיסמה ייחודית לכל שירות: דליפה באתר אחד לא תפתח את כל השאר.
- מעדיפים ביטוי‑מעבר ארוך (כמה מילים אקראיות) על פני סיסמה קצרה ומורכבת.
- מפעילים אימות דו‑שלבי, ועדיף Passkey, בכל מקום שמאפשר.
מקורות: מערך הסייבר הלאומי: סיסמאות
שאלות נפוצות
הסיסמה שלי באמת לא נשלחת?
נכון. הדפדפן מחשב ממנה גיבוב SHA‑1 ושולח למאגר רק את 5 התווים הראשונים של הגיבוב. גם אנחנו וגם המאגר לא מקבלים את הסיסמה עצמה, ולא שומרים כלום.
הסיסמה הופיעה בדליפה – מה עכשיו?
החליפו אותה מיד בכל שירות שבו השתמשתם בה, בחרו סיסמה חדשה וייחודית דרך מנהל סיסמאות, והפעילו אימות דו‑שלבי. אל תמחזרו סיסמה שדלפה.
התוצאה 0 – הסיסמה שלי בטוחה?
זה אומר שהיא לא הופיעה בדליפות שבמאגר, אבל לא שהיא חזקה. סיסמה קצרה או צפויה עדיין קלה לפיצוח. עדיף ביטוי‑מעבר ארוך או סיסמה אקראית ממנהל סיסמאות.
מה זה אימות דו‑שלבי ולמה הוא חשוב?
שכבה שנייה מעבר לסיסמה: קוד חד‑פעמי, מפתח או Passkey. גם אם הסיסמה דלפה, בלי השלב השני קשה הרבה יותר להיכנס לחשבון שלכם.