Password Audit Bot

Password Audit Bot menjawab pertanyaan yang lebih sempit, tetapi benar-benar berguna, dibanding bot pemeriksa email lainnya di file ini: bukan "apakah emailku bocor," melainkan "apakah kata sandi persis milikku ini sudah pernah muncul dalam kebocoran yang diketahui." Kode sumbernya, dipublikasikan di GitHub oleh pengembang/tim dengan nama CS-Era sebagai "secure-password-auditor-bot," mendokumentasikan perintah /check dan menjelaskan secara tepat bagaimana ia melindungi apa pun yang kamu ketik: alih-alih mengirim kata sandi lengkap ke mana pun, bot ini melakukan hashing secara lokal dengan SHA-1 dan hanya mengirim lima karakter pertama dari hash tersebut ke API "Pwned Passwords" milik Have I Been Pwned — teknik k-Anonymity yang sama yang digunakan oleh situs resmi haveibeenpwned.com sendiri, yang membuat API secara matematis mustahil merekonstruksi kata sandi asli kamu dari apa yang diterimanya.

README secara eksplisit mendokumentasikan praktik privacy-by-design dan security-by-design: tanpa penyimpanan permanen (dinyatakan bahwa kata sandi tidak pernah disimpan), pembatasan laju terhadap penyalahgunaan brute-force dan denial-of-service, sanitasi input, dan HTTPS wajib untuk semua komunikasi. Karena kodenya open source, semua ini tidak perlu diterima begitu saja — siapa pun bisa membaca persis apa yang dilakukan bot dengan apa yang kamu kirimkan.

Kompromi yang ada khas proyek open-source pribadi kecil, bukan perusahaan keamanan yang didanai: tidak ada pengembang individu bernama selain nama organisasi GitHub, tidak ada dokumen kebijakan privasi resmi, dan jumlah bintang GitHub yang sederhana menunjukkan penggunaan dunia nyata yang masih terbatas sejauh ini. Anggap ini sebagai alat yang dibangun dengan baik secara teknis, bukan merek yang sudah mapan, dan ingat bahwa bahkan hasil yang bersih dari pemeriksa kata sandi mana pun tidak menggantikan penggunaan kata sandi yang unik dan kuat di setiap akun.