你的密码有多安全测试网站

“123456”这个密码，密多安我用了三年。全测直到某天登录邮箱，试网发现收件箱里躺着三封来自不同网站的密多安“异常登录提醒”，时间戳集中在凌晨两点到四点之间。全测那一刻我才意识到，试网自己的密多安密码可能早就在某个泄露数据库里裸奔了。

后来朋友甩给我一个链接，全测说“去测测你的试网密码有多烂”。网站叫“Have I Been Pwned”，密多安界面朴素得像个个人博客，全测输入框里敲进邮箱地址，试网回车。密多安页面跳出一行红字：该邮箱出现在7次数据泄露事件中。全测往下翻，试网领英、Adobe、MyFitnessPal……全是当年注册过就再没打开过的服务。密码没变过，一直是那个“123456”加个感叹号。

这类测试网站的逻辑其实不复杂。它们背后是海量的泄露数据集合，有些来自黑客论坛公开的数据库，有些是安全研究员从暗网爬来的。你把邮箱或密码输进去，系统只在本地做哈希比对，不会真的把你的密码明文传回服务器——当然，前提是这网站本身靠谱。像Have I Been Pwned这种，创始人Troy Hunt是微软区域总监，数据来源和查询方式都公开可查。但市面上更多是钓鱼站，输进去的密码直接进了别人的字典库。所以测之前，先看域名，再看有没有HTTPS，最后搜一下网站评价。别嫌麻烦，这一步省不得。

我试过另一个叫“Password Monster”的网站，玩法不同。它不查泄露，而是实时计算你输入的密码需要多久能被暴力破解。我输“P@ssw0rd!2024”，它显示“3小时”。换成“correct-horse-battery-staple”，直接跳到“4万亿年”。区别在哪？长度。前者12位，后者28位。暴力破解的难度随长度指数级上升，符号替换那点小聪明在算力面前不值一提。Bitwarden的博客里有个数据：8位纯数字密码，现代GPU每秒能试1000亿次，几秒就破。12位混合字符，时间拉长到几个世纪。但如果是“qwerty123”这种键盘滑步，字典攻击第一轮就命中。

测试网站还有个隐藏功能：它能暴露你的密码复用习惯。我把三个常用密码分别输进不同的测试站，结果两个显示“已泄露”，一个显示“强度中等但出现在字典中”。这意味着我拿同一个密码注册了十几个网站，任何一个被拖库，其他全完蛋。去年某电商平台数据泄露，我连夜改了二十多个账户的密码。改到第十个的时候，手指在键盘上机械地敲着“新密码+网站缩写+年份”，突然觉得很荒诞——这跟把钥匙藏在门口地毯下有什么区别？

现在我的做法是：主邮箱用独立的长短语密码，比如“紫罗兰在周二下午三点凋谢”，只记在脑子里。其他网站全部交给密码管理器生成随机字符串，十六位起步，大小写数字符号混排。测试网站偶尔还会去逛，但不再是为了查自己有没有中招，而是看新出现的泄露事件里有没有我注册过的服务。上个月发现某设计社区被拖库，我两年前在上面传过作品集。登录一看，密码是管理器生成的，改都不用改。

说到底，测试网站就是个照妖镜。它照不出绝对安全，但能让你看清自己有多懒。那些“已泄露”的红字提醒，比任何安全教程都管用。至少对我来说，被吓过一次之后，再也没用过“123456”。