Password Audit Bot

O Password Audit Bot responde a uma pergunta mais restrita, mas genuinamente útil, do que os bots de verificação de email do restante deste arquivo: não "meu email vazou", mas "essa senha exata minha já apareceu em algum vazamento conhecido". Seu código-fonte, publicado no GitHub por um desenvolvedor ou equipe sob o nome CS-Era como "secure-password-auditor-bot", documenta um comando /check e descreve com precisão como protege o que você digita: em vez de enviar a senha completa para algum lugar, ele a faz hash localmente com SHA-1 e envia apenas os cinco primeiros caracteres desse hash para a API "Pwned Passwords" da Have I Been Pwned — a mesma técnica de k-Anonymity que o próprio site oficial haveibeenpwned.com usa, o que torna matematicamente inviável para a API reconstruir sua senha real a partir do que recebe.

O README documenta explicitamente práticas de privacidade por design e segurança por design: sem persistência (afirma-se que as senhas nunca são salvas), limitação de taxa contra abusos de força bruta e negação de serviço, sanitização de entrada e HTTPS obrigatório para toda comunicação. Como o código é aberto, nada disso precisa ser aceito apenas por fé — qualquer pessoa pode ler exatamente o que o bot faz com o que você envia.

As contrapartidas são típicas de um pequeno projeto pessoal de código aberto, e não de uma empresa de segurança financiada: nenhum desenvolvedor individual identificado além de um nome de organização no GitHub, nenhum documento formal de política de privacidade, e um número modesto de estrelas no GitHub sugerindo uso real limitado até agora. Trate-o como uma ferramenta tecnicamente bem construída, não como uma marca estabelecida, e lembre-se de que mesmo um resultado limpo de qualquer verificador de senhas não substitui o uso de uma senha única e forte em cada conta.