Password Audit Bot

Password Audit Bot responde a una pregunta más acotada, pero genuinamente útil, que los bots de comprobación de email del resto de esta lista: no "¿se ha filtrado mi email?", sino "¿esta contraseña exacta mía ya ha aparecido en alguna filtración conocida?". Su código fuente, publicado en GitHub por un desarrollador o equipo bajo el nombre CS-Era como "secure-password-auditor-bot", documenta un comando /check y describe con precisión cómo protege lo que escribas: en lugar de enviar la contraseña completa a algún sitio, la hashea localmente con SHA-1 y envía solo los primeros cinco caracteres de ese hash a la API "Pwned Passwords" de Have I Been Pwned — la misma técnica de k-Anonymity que usa el propio sitio oficial haveibeenpwned.com, que hace matemáticamente inviable que la API reconstruya tu contraseña real a partir de lo que recibe.

El README documenta explícitamente prácticas de privacidad por diseño y seguridad por diseño: sin persistencia (se afirma que las contraseñas nunca se guardan), limitación de frecuencia contra abusos de fuerza bruta y denegación de servicio, saneamiento de entradas y HTTPS obligatorio para toda comunicación. Como el código es abierto, nada de esto hay que tomarlo solo de fe — cualquiera puede leer exactamente qué hace el bot con lo que le envías.

Las contrapartidas son típicas de un pequeño proyecto personal de código abierto y no de una empresa de seguridad financiada: no hay un desarrollador individual nombrado más allá de un nombre de organización en GitHub, no hay un documento formal de política de privacidad, y un número modesto de estrellas en GitHub sugiere un uso real limitado hasta ahora. Trátalo como una herramienta técnicamente bien construida y no como una marca consolidada, y recuerda que incluso un resultado limpio de cualquier verificador de contraseñas no sustituye usar una contraseña única y fuerte en cada cuenta.