1001Ferramentas
🔐Security

HIBP K-Anonymity Format

Explains the Have I Been Pwned k-anonymity flow: SHA-1 password, first 5 chars on GET, suffix returned.

O serviço Pwned Passwords usa k-anonymity para nunca receber a senha completa.

  1. Compute o SHA-1 da senha em maiúsculas hex (40 chars)
  2. Envie um GET https://api.pwnedpasswords.com/range/<PRIMEIROS_5>
  3. O servidor responde com lista de sufixos (35 chars) + contagem
  4. Procure seu sufixo nessa lista localmente

Assim, o servidor nunca recebe a senha nem o hash completo.

Related Tools