パスワード漏えいチェック

パスワードを入れると、過去の漏えいで出回ったパスワードの一覧に含まれていないかを確かめられます。パスワードそのものは、このサイトにもどこにも送りません。

パスワードを送らずに、どうやって確かめるのか

この道具は、世界中の漏えいデータを集めた「Have I Been Pwned」の照合の仕組み（Pwned Passwords）を使っています。手順は次のとおりです。

照合先には、先頭5文字しか届きません。同じ5文字で始まるものは数百件あるため、どのパスワードを調べたのかは照合先にも分かりません。さらに、一覧に無関係な値を混ぜて返してもらう設定（パディング）も使っています。

このサイトのサーバーは、この処理に一切関わっていません。

そのパスワードは、どこかで漏れたデータの中にあります。あなたのアカウントが漏れたとは限りません。同じパスワードを使っている人が、ほかにもいるということです。

ただ、攻撃する側はこうした一覧を上から順に試します（リスト型攻撃）。含まれていたパスワードは、使っているすべての場所で変えてください。

公開されている漏えいデータの中には無かった、という意味です。安全という意味ではありません。短いもの、名前や誕生日を含むもの、ほかのサービスと同じものは避けてください。

2026年10月は、大きな漏えいの発表が続きました。どこか1か所で漏れても、パスワードを使い回していなければ、ほかのサービスまでは広がりません。

大事なのは、記号の多さより長さです。短いパスワードに記号を混ぜるより、長い文を使うほうが破られにくくなります。

「パスワードを送らない」と書いてあっても、確かめたくなるのは当然です。パソコンのブラウザなら、開発者ツールの「ネットワーク」タブを開いた状態で確認ボタンを押すと、実際に送られた通信を見られます。照合先への通信の住所の末尾に、5文字の英数字が付いているだけのはずです。

それでも不安なら、今使っているパスワードではなく、以前使っていたもので試すこともできます。

サービスから「パスワードが漏れた可能性があります」と連絡が来たら、そのサービスだけでなく、同じパスワードを使っているすべてのサービスで変えてください。連絡のメールのリンクからではなく、公式のアプリやブックマークからログインして変えます。

パスワードが漏れても、ログインのたびにスマホの認証アプリやパスキーでの確認が要る設定にしておけば、パスワードだけでは入られません。銀行、メール、ショッピング、SNSなど、お金や連絡先につながるサービスから先に入れてください。