Cómo saber si tu contraseña fue filtrada, sin revelarla

Suena a trampa: para comprobar si tu contraseña está en una filtración, alguien tendría que conocerla. Resulta que no, y el método es bastante elegante.

Empecemos por lo obvio: nunca escribas tu contraseña en un sitio que no te explique qué hace con ella. Una caja que dice "comprueba tu contraseña" y no cuenta nada más es, en el mejor de los casos, una mala idea. Lo que sigue es la explicación que deberías exigirle a cualquiera, incluidos nosotros.

Primero, qué es una huella

Existe un procedimiento matemático que convierte cualquier texto en una cadena de letras y números de largo fijo. Siempre el mismo texto da la misma cadena, y cadenas parecidas no significan textos parecidos. Lo llamamos huella porque se comporta como una: identifica sin describir.

Lo importante es que la operación va en un solo sentido. Del texto sale la huella con facilidad; de la huella no se vuelve al texto. Esa asimetría es la base de casi todo lo que sigue.

El truco: preguntar por un grupo, no por ti

Si tu navegador enviara la huella completa de tu contraseña, quien la recibe sabría exactamente por cuál preguntaste. Podría guardarla, y con una lista de contraseñas comunes ya calculadas de antemano, averiguar cuál era. Así que se hace distinto.

1. La huella se calcula en tu equipo

   Tu navegador hace la cuenta por su lado. Hasta aquí nada ha salido a la red.

2. Se envían solo los cinco primeros caracteres

   Un fragmento del principio de la huella, y nada más. No identifica una contraseña: identifica un vecindario enorme donde caben cientos de ellas.

3. Llega de vuelta el vecindario completo

   El servicio responde con todas las huellas filtradas que empiezan por esos cinco caracteres, típicamente varios cientos, junto con cuántas veces apareció cada una.

4. La comparación ocurre dentro de tu navegador

   Tu equipo busca en esa lista si está la huella completa, que solo él conoce. Quien te respondió nunca se enteró de cuál era.

En este sitio esa consulta sale directamente de tu navegador al servicio de contraseñas. Nuestro servidor no participa, así que ni siquiera podría ver el fragmento si quisiera.

Qué significa el número que sale

El resultado no es un sí o un no, es una cuenta: cuántas veces esa contraseña apareció en filtraciones conocidas. Y significa algo más incómodo de lo que parece.

No quiere decir que tu cuenta se filtró. Quiere decir que esa combinación de caracteres ya está en las listas que se usan para atacar. Si tu contraseña aparece cuarenta mil veces, no es que cuarenta mil personas te robaron: es que cuarenta mil personas eligieron lo mismo que tú, y por eso está en el primer lugar de cada lista de intentos.

Una contraseña filtrada es peligrosa aunque nadie sepa que es tuya. El ataque habitual no adivina: toma las contraseñas ya conocidas y las prueba contra millones de cuentas hasta que alguna abre.

Si la tuya aparece

Cámbiala donde la uses, empezando por tu correo. Y elige la nueva pensando en largo antes que en símbolos raros: tres o cuatro palabras que no formen una frase conocida resisten mejor que P@ssw0rd! y se recuerdan sin esfuerzo. Si la repetiste en varios sitios, ese es el trabajo de verdad, y está ordenado por prioridad en qué hacer si se filtró tu correo.

Si no aparece

Buena señal, pero no es un certificado. Que no esté en las listas conocidas significa justo eso: que no está en las listas conocidas. Una contraseña corta y adivinable puede no haberse filtrado nunca y caer igual en un minuto. La prueba mira el pasado, no la calidad.