Проверка паролей по базам утечек: как это устроено и почему пароль при этом не уходит наружу
Пришло уведомление об обновлении в системе проверки паролей — и я сразу включил проверку на всех сайтах, где есть авторизация. Это не про «хакеров», а про то, что ваш сайт может быть источником утечки данных, даже если вы не знали.
Проверка паролей — это не про хакеров, а про закон
Попался разбор про проверку паролей по базам утечек. Сначала подумал: «ну, это для IT-отделов». Но потом вспомнил — если у вас на сайте есть форма входа, вы уже оператор персональных данных. И даже если вы не храните пароли, сам факт, что пользователь вводит слабый пароль, — это риск.
Наши клиенты не всегда понимают: утечка пароля — это не только взлом. Это и нарушение 152-ФЗ. А проверка пароля по базе утечек — это не передача данных, а безопасный протокол. И он работает даже если вы не хотите ничего отправлять.
Как это работает — без передачи пароля
Суть в том, что вы не отправляете пароль. Только его хеш — первые пять символов. Сервер отвечает списком всех хешей, начинающихся с этих пяти. Вы проверяете у себя — есть ли ваше окончание в списке. Сервер не знает, какой именно хеш вы искали.
И да, это не магия. Это k-анонимность. И она работает на практике — без утечек, без рисков. Главное — не вводить пароль вручную. А проверять в момент создания, как часть процесса.
Как понять, что это касается вашего сайта
Я смотрю на два признака: есть ли форма входа, регистрация, восстановление пароля. Если да — значит, пароли вводятся. А значит, есть риск, что пользователь использует пароль из утечки.
Даже если у вас нет базы данных — форма заявки на сайте, если она есть, уже делает вас оператором персональных данных. И проверка пароля — это не про «хакеров», а про соответствие 152-ФЗ. Я проверяю это первым делом.
Что я делаю, когда вижу такую уязвимость
Я не просто ставлю проверку. Я смотрю, где она может быть встроена — в авторизацию, в форму регистрации, в админку. И включаю её в момент создания пароля. Не постфактум.
Если у клиента нет технической команды — я настраиваю это на своей стороне. Проверяю, как система реагирует на слабые пароли. И добавляю блокировку по списку утечек. Объём работы — от нескольких часов до дня, в зависимости от сложности сайта.
Что здесь даёт поддержка
На нашей поддержке мы не просто ставим проверку — мы закрываем причину. Потому что если пароль слабый, он может быть в утечке. А если его можно проверить — значит, вы не просто «пошли по закону», а реально снизили риск.
Главный итог для клиента — не «мы починили», а «вы перестанете думать о сайте». Мы делаем это заранее. Работаем с 2002 года, более 100 клиентов по всему миру. Аудит на соответствие 152-ФЗ — бесплатно.