Have I Been Pwned
What it is — Have I Been Pwned (HIBP), created by Troy Hunt, is a public database aggregating known data breaches. Give it an email and it tells you which leaks it appeared in; give it a domain (with ownership verification) and it shows the aggregated exposure of every account from that organisation.
| Type | Web service + API |
| Cost | Email search free · domain API paid |
| URL | haveibeenpwned.com |
How to use it
Look up a specific email directly on the site:
https://haveibeenpwned.com/account/<email>It also checks whether a specific password appeared in a breach (uses k-anonymity: only sends the SHA1 hash prefix, never the plaintext password):
curl -s "https://api.pwnedpasswords.com/range/$(echo -n 'password' | sha1sum | cut -c1-5)"The Pwned Passwords service is especially useful because it never transmits your full password — only the first 5 characters of the SHA1 hash, and you compare the rest locally. It's the same mechanism password managers like 1Password use to warn about compromised passwords without leaking your credentials.
What I use it for
- Generating spraying candidates (with authorisation): in an authorised engagement, knowing which employees appear in breaches helps prioritise accounts more likely to reuse passwords.
- Personal hygiene: I periodically check my own emails to see if any service I use suffered a breach and it's time to rotate that password.
- Context for a bug bounty report: if I find leaked credentials related to a program, HIBP helps confirm whether they're from an already-known, public breach (different impact than a new, unreported leak).
Link
Qué es — Have I Been Pwned (HIBP), creado por Troy Hunt, es una base de datos pública que agrega brechas de datos conocidas. Le das un email y te dice en qué filtraciones ha aparecido; le das un dominio (con verificación de propiedad) y te muestra la exposición agregada de todas las cuentas de esa organización.
| Tipo | Servicio web + API |
| Coste | Búsqueda de email gratis · API de dominio de pago |
| URL | haveibeenpwned.com |
Cómo se usa
Búsqueda de un email concreto directamente en la web:
https://haveibeenpwned.com/account/<email>También comprueba si una contraseña concreta apareció en alguna filtración (usa k-anonimato: solo envía el prefijo del hash SHA1, nunca la contraseña en claro):
curl -s "https://api.pwnedpasswords.com/range/$(echo -n 'contraseña' | sha1sum | cut -c1-5)"El servicio de Pwned Passwords es especialmente útil porque nunca transmite tu contraseña completa — solo los 5 primeros caracteres del hash SHA1, y tú comparas el resto localmente. Es el mismo mecanismo que usan gestores de contraseñas como 1Password para avisarte de contraseñas comprometidas sin filtrar tus credenciales.
Para qué lo uso yo
- Generar candidatos para spraying (con autorización): en un engagement autorizado, saber qué empleados aparecen en brechas ayuda a priorizar cuentas con mayor probabilidad de reutilización de contraseñas.
- Higiene personal: reviso periódicamente mis propios correos para saber si algún servicio que uso sufrió una brecha y toca rotar esa contraseña.
- Contexto en un informe de bug bounty: si encuentro credenciales filtradas relacionadas con el programa, HIBP ayuda a confirmar si son de una brecha ya conocida y pública (distinto impacto que una filtración nueva y no reportada).