Sinal: a API de senhas do Have I Been Pwned usa uma consulta por prefixo de cinco caracteres do hash; isso descreve aquele mecanismo, não a busca de e-mails na página. (Documentação oficial da API)
Decisão: você pode consultar seu próprio endereço para procurar registros conhecidos, mas não deve interpretar a consulta como isenta de qualquer processamento nem como prova definitiva de que sua conta está segura. Se encontrar um registro, isso não confirma que alguém controla sua caixa de entrada; se não encontrar, isso não prova que nunca houve exposição.
Este guia é para quem recebeu um aviso de vazamento e quer confirmar se o endereço aparece em registros conhecidos.
Também é para quem hesita em informar o e-mail a um serviço de consulta ou precisa separar exposição de dados de invasão da conta.
Antes da busca: confirme o destino e limite o que você informa
Digite o endereço oficial diretamente no navegador ou use um marcador que você mesmo salvou: Have I Been Pwned. Evite abrir uma página encontrada em anúncio, mensagem inesperada ou link encurtado. A semelhança entre endereços e páginas é um risco real em qualquer consulta relacionada à segurança, especialmente quando a pessoa já está preocupada e quer agir depressa.
Confira o domínio antes de inserir qualquer dado. A consulta de exposição pede um endereço de e-mail; não há motivo para informar a senha da caixa de entrada, a senha de outro serviço, códigos de autenticação ou respostas de recuperação. Se uma página pedir essas credenciais para mostrar um resultado, interrompa o processo.
Consulte apenas um endereço que você tenha autorização para verificar. Pesquisar o e-mail de outra pessoa sem consentimento pode expor informação sobre sua presença em incidentes e não ajuda a proteger a sua própria conta. Se você está ajudando alguém, peça que a própria pessoa faça a busca ou acompanhe a verificação com autorização explícita.
Há três situações diferentes que não devem ser misturadas: o endereço aparecer em um conjunto de dados exposto; alguém conseguir entrar na caixa de entrada; e o serviço de consulta processar dados técnicos para funcionar. Cada uma exige uma avaliação própria. Uma busca responde principalmente à primeira, não comprova as outras duas.
Durante a consulta: diferencie busca, registros técnicos e alertas
A política de privacidade e as respostas oficiais do serviço descrevem o tratamento da consulta, mas isso não equivale a uma promessa de que nenhuma informação técnica seja processada. O material oficial informa que o endereço pesquisado não é mantido como um histórico de buscas. Ao mesmo tempo, operar um site pode envolver registros técnicos, como endereço IP e dados do navegador, conforme as condições descritas na política de privacidade.
A leitura correta, portanto, não é “o serviço não coleta nada”. É mais restrita: a documentação publicada distingue o endereço consultado de outros dados necessários para operar e proteger o serviço. Como políticas e fluxos podem mudar, confira o texto oficial na data em que for usar a ferramenta, especialmente se a sua decisão depender de um detalhe específico de retenção ou registro.
Também não trate a busca na página, a inscrição para alertas e a API como uma única operação. São fluxos diferentes, com finalidades e dados próprios. A busca pontual serve para verificar registros disponíveis. O recurso de notificações exige um endereço para contato futuro; leia as informações oficiais sobre alertas antes de se inscrever. Já a API tem sua própria documentação e condições de uso.
A consulta por prefixo citada no início diz respeito ao mecanismo da API de senhas, não autoriza concluir que a busca de e-mails na página usa o mesmo método. A documentação da API oficial explica os mecanismos específicos. Não extrapole uma característica de uma função para outra.
| Situação | O que está sendo informado | O que avaliar antes de continuar |
|---|---|---|
| Busca pontual na página | O endereço que você quer verificar | Se está no domínio oficial e se a página pede somente os dados necessários |
| Inscrição para alertas | Um endereço para receber contato futuro | A finalidade da inscrição e as condições descritas na página de notificações |
| Consulta por API | Dados e parâmetros definidos para o endpoint usado | A documentação daquele endpoint; não presuma que todos os métodos funcionem igual |
A distinção prática é importante: se você só quer fazer uma consulta, não precisa transformar automaticamente essa ação em inscrição para avisos. Se quiser monitoramento futuro, considere que isso envolve fornecer um endereço de contato e avalie se quer associá-lo a esse serviço.
Resultado positivo: avalie o incidente antes de trocar tudo
Uma ocorrência informa que o endereço foi associado a dados de um incidente incluído na base. Ela não significa, por si só, que a senha da sua caixa de entrada foi exposta ou que alguém conseguiu entrar nela. O efeito depende do que o registro descreve: um endereço de e-mail pode ter sido divulgado junto com outros dados, e a exposição de uma senha exige uma resposta diferente da exposição apenas do endereço.
Abra a explicação do incidente e identifique os tipos de informação envolvidos. Em seguida, verifique qual conta ou serviço está relacionado ao registro. Se a senha usada naquele serviço ainda estiver ativa, altere-a ali e em qualquer outro lugar onde você tenha reutilizado a mesma combinação. Para contas importantes, use senhas exclusivas e um gerenciador de senhas, em vez de tentar memorizar variações parecidas.
Depois, proteja a própria caixa de entrada. Procure alertas de acesso que você não reconhece, alterações em métodos de recuperação, sessões desconhecidas e regras de encaminhamento que você não criou. Uma conta de e-mail sob controle de terceiros pode facilitar a redefinição de senhas de outros serviços; por isso, esses sinais merecem atenção mesmo quando o incidente original envolveu outro site.
Se houver indícios de invasão, priorize a recuperação da conta pelo provedor de e-mail. A orientação da Comissão Federal de Comércio dos Estados Unidos para contas de e-mail ou redes sociais comprometidas recomenda ações de recuperação e proteção. Use o processo oficial do provedor da conta afetada e não responda a mensagens inesperadas que peçam senhas ou códigos.
| O que aparece no registro | Interpretação prudente | Próxima ação |
|---|---|---|
| Endereço de e-mail | O endereço foi associado ao conjunto de dados informado | Identifique o serviço e procure detalhes do incidente |
| Senha ou credencial | Pode haver risco para a conta ligada à credencial e para reutilizações | Troque senhas reutilizadas e proteja primeiro as contas de maior impacto |
| Dados de perfil ou contato | Há exposição de informação que pode facilitar abordagens direcionadas | Desconfie de mensagens que usem esses dados para parecer legítimas |
| Nenhum sinal de acesso à caixa de entrada | A ocorrência não prova controle da conta de e-mail | Revise atividade, recuperação e encaminhamento separadamente |
Uma mensagem de phishing pode usar dados verdadeiros para parecer confiável. Confirme solicitações de redefinição entrando no serviço pelo endereço que você já conhece, e não por um link recebido na mensagem. Não informe códigos de autenticação a quem entrar em contato com você; um código pode permitir que outra pessoa conclua uma tentativa de acesso.
Resultado negativo: entenda o limite da consulta
Uma busca sem ocorrências não certifica que o endereço nunca apareceu em um vazamento. Ela informa que, naquela consulta, a base pesquisada não apresentou um registro correspondente. Um incidente pode não estar publicado, ainda não ter sido incorporado ou não estar associado ao endereço de uma forma que produza correspondência. Por isso, a consulta de vazamento de dados é uma fonte de verificação, não um certificado de segurança.
Não use o resultado negativo como motivo para ignorar um alerta de acesso ou uma mensagem do provedor. Se recebeu uma notificação sobre atividade suspeita, confira-a entrando diretamente na conta e consulte o histórico de segurança. Procure sessões que não reconhece, encaminhamentos automáticos inesperados, mudanças em telefone ou e-mail de recuperação e alterações de senha que você não realizou.
O mesmo vale para a ausência de alertas. Uma conta pode estar exposta por reutilização de senha ou por uma tentativa de phishing, sem que isso apareça na busca. Mantenha uma senha exclusiva para o e-mail, habilite autenticação em duas etapas quando o provedor oferecer a opção e guarde os métodos de recuperação em local seguro.
| Resultado da busca | O que permite concluir | O que não permite concluir |
|---|---|---|
| Há registros | O endereço aparece em dados disponíveis para consulta | Que alguém entrou na sua caixa de entrada |
| Não há registros | A busca não encontrou correspondências na base consultada | Que o endereço nunca foi exposto ou que todas as contas estão seguras |
| Há alerta de acesso suspeito | Existe um sinal que precisa ser verificado na conta correspondente | Que a busca de vazamentos, sozinha, identificará a causa |
Depois da verificação: escolha entre consulta pontual e aviso futuro
Se você precisa apenas confirmar uma suspeita agora, uma busca pontual pode bastar. Se quer receber avisos no futuro, examine a página de inscrição antes de fornecer um endereço para contato. O serviço descreve a notificação como um fluxo distinto da pesquisa; não presuma que as condições da consulta pontual se aplicam automaticamente à inscrição.
Considere também qual endereço usar para alertas. Para avisos sobre uma conta que você precisa proteger ao longo do tempo, escolha um endereço que possa acessar e recuperar no futuro. Um endereço temporário não é substituto adequado para monitorar uma conta importante, receber alertas duradouros ou recuperar acesso. Se perder acesso a ele, você também pode perder mensagens necessárias para agir.
Antes de se inscrever, confirme que entendeu a finalidade do contato e como cancelar ou alterar a inscrição, conforme as opções descritas pelo serviço. Não forneça mais informação do que o fluxo exige. Se não quiser receber avisos, encerre a consulta sem ativar notificações: são decisões separadas.
Próximo cadastro: reduza a exposição sem prometer anonimato
A consulta ajuda a entender registros conhecidos; ela não apaga os dados já expostos. Para reduzir futuras associações entre seu endereço principal e serviços de confiança duvidosa, escolha o endereço conforme a importância e a duração da conta. Um cadastro descartável para testar um serviço de baixo risco tem necessidades diferentes das de uma conta de pagamentos, saúde, governo ou trabalho.
| Tipo de cadastro | Endereço mais adequado | Motivo da escolha |
|---|---|---|
| Teste rápido ou acesso de curta duração, sem dados importantes | Pode fazer sentido usar um endereço temporário, se o serviço aceitar e você não precisar recuperar a conta depois | Evita entregar o endereço principal em um cadastro de baixo compromisso |
| Serviço que você usará por bastante tempo | Use um endereço duradouro que você controle | Você precisará receber alertas, redefinir senha e recuperar o acesso |
| Banco, pagamentos, serviços públicos ou conta de trabalho | Use o endereço permanente vinculado à sua identidade e às rotinas de recuperação | A perda de acesso pode ter consequências financeiras, administrativas ou profissionais |
| Site de confiança incerta, mas com conta que você quer manter | Avalie um endereço alternativo duradouro ou um recurso de alias | Você preserva a possibilidade de recuperar a conta sem expor diretamente o endereço principal |
Separar endereços pode limitar a exposição direta do seu e-mail principal e ajudar a perceber quais cadastros recebem mensagens inesperadas. Isso não apaga dados que já circulam, não impede que o site associe outros identificadores a você e não garante anonimato. Para escolher entre endereço temporário, alias e e-mail permanente conforme o risco do cadastro, consulte nosso guia para separar endereços por tipo de uso.
Para revisar sua decisão antes de criar outra conta, use esta lista. Marque cada ponto que você realmente verificou:
- [ ] Confirmei que estou no endereço oficial da consulta e não abri uma página por um link suspeito.
- [ ] Informei somente o endereço que quero verificar, sem senha, código ou credencial de outro serviço.
- [ ] Li o tipo de dado associado ao incidente, em vez de concluir que toda a caixa de entrada foi invadida.
- [ ] Verifiquei se a senha relacionada ainda está em uso em outra conta.
- [ ] Revisei atividade recente, métodos de recuperação e regras de encaminhamento da caixa de entrada.
- [ ] Decidi separadamente se quero apenas consultar ou também receber notificações futuras.
- [ ] Escolhi um endereço duradouro para contas que exigem recuperação e acesso contínuo.
- [ ] Reservei endereços temporários para cadastros de baixo risco nos quais não preciso manter a conta.
Se você está considerando um endereço temporário para receber um código durante um cadastro, avalie também a possibilidade de precisar recuperar aquela conta depois. Nosso guia sobre verificação por e-mail com endereço temporário ajuda a ponderar esse limite. Para uma consulta pontual sobre um endereço que você controla, acesse a página da Tempsender; não use um endereço temporário para substituir o e-mail de recuperação de uma conta essencial.
Perguntas frequentes sobre consulta e privacidade
O endereço digitado na busca fica salvo?
A documentação oficial informa que o endereço consultado não é armazenado como um histórico de pesquisas. Isso não elimina o processamento de dados técnicos necessário à operação do serviço. Consulte a política de privacidade vigente para entender como ela descreve registros e informações do navegador. A busca e a inscrição para alertas são fluxos diferentes, portanto não conclua que uma consulta pontual equivale a fornecer um endereço para contato futuro.
Se o resultado não mostrar ocorrências, posso parar de me preocupar?
Não. O resultado negativo cobre apenas os registros disponíveis para aquela consulta; incidentes não publicados ou não incluídos podem não aparecer. Continue usando senhas exclusivas e verifique sinais concretos, como acessos desconhecidos, mudanças de recuperação ou encaminhamentos que você não configurou. Se recebeu um alerta de atividade suspeita, investigue a conta diretamente, mesmo que a busca não encontre o endereço.
Um registro prova que alguém entrou na minha caixa de entrada?
Não. O endereço pode ter aparecido em dados expostos por outro serviço sem que a caixa de entrada tenha sido acessada. Veja quais tipos de informação acompanham o registro e troque senhas expostas ou reutilizadas. Para avaliar a conta de e-mail, confira sessões, atividade recente, métodos de recuperação e regras de encaminhamento. A conclusão deve vir desses sinais, não apenas da presença do endereço em um registro.
O que devo proteger primeiro depois de encontrar uma ocorrência?
Comece pelo serviço associado ao registro e troque qualquer senha exposta que ainda esteja ativa, incluindo reutilizações em outros serviços. Depois, proteja a caixa de entrada: revise acessos, métodos de recuperação e encaminhamentos. Se identificar atividade que não reconhece, use o processo oficial de recuperação do provedor e trate com cautela mensagens que peçam códigos. O endereço exposto, isoladamente, não determina qual conta foi comprometida.
Se a consulta mostrar uma exposição, a prioridade é corrigir senhas reutilizadas e verificar a segurança das contas — não tentar tornar todo endereço anônimo. Para cadastros curtos e de baixo risco, a Tempsender pode ajudar a evitar que o site receba diretamente seu e-mail principal; para serviços importantes, mantenha um endereço de longo prazo que você controle e possa usar para receber alertas e recuperar acesso.
Perguntas frequentes
O Have I Been Pwned guarda o e-mail que pesquiso?
A documentação oficial informa que o endereço digitado na busca não é armazenado como um histórico de pesquisas. Isso não significa que o serviço deixe de processar qualquer dado: a operação pode envolver registros técnicos, como endereço IP e informações do navegador, conforme a política de privacidade vigente. Leia essa política antes de usar o serviço e não confunda consulta pontual com inscrição para receber alertas.
Se a busca não encontrar meu endereço, posso concluir que nunca houve vazamento?
Não. Um resultado sem ocorrências significa apenas que a busca não encontrou registros correspondentes na base disponível naquele momento. Incidentes ainda não publicados, não incluídos no serviço ou difíceis de associar ao endereço podem ficar de fora. Mantenha senhas exclusivas, autenticação em duas etapas quando disponível e confira alertas de acesso ou alterações de segurança independentemente do resultado.
Meu e-mail aparece em um vazamento: isso quer dizer que invadiram minha caixa de entrada?
Não necessariamente. O endereço pode constar em um conjunto de dados exposto por um site sem que alguém tenha obtido controle da sua caixa de entrada. Verifique quais dados foram associados ao incidente e se a senha usada naquele serviço ainda está em uso em outras contas. Só trate a caixa de entrada como comprometida quando houver sinais concretos, como acessos desconhecidos ou alterações que você não fez.
O que devo conferir nas contas depois de encontrar um vazamento?
Comece pelo serviço mencionado no registro: troque a senha se ela ainda for usada ali ou em outro lugar e encerre sessões desconhecidas, se a opção existir. Depois, revise métodos de recuperação, regras de encaminhamento e atividade recente da sua conta de e-mail. Se notar acesso indevido, siga o processo de recuperação do provedor e proteja primeiro a caixa de entrada, que pode receber links para redefinir outras senhas.
Precisa de uma caixa de entrada temporária?
Crie um endereço aleatório, copie-o e aguarde a mensagem nesta mesma página; para contas importantes, use um endereço permanente.