Password Audit Bot

Password Audit Bot отвечает на более узкий, но по-настоящему полезный вопрос, чем боты проверки email в этом файле: не «утёк ли мой email», а «встречался ли именно этот мой пароль в какой-либо известной утечке». Его код, опубликованный на GitHub разработчиком или командой под ником CS-Era как «secure-password-auditor-bot», документирует команду /check и подробно описывает, как защищается введённый пароль: вместо отправки полной строки куда-либо, он хешируется локально алгоритмом SHA-1, и в API «Pwned Passwords» от Have I Been Pwned уходят только первые пять символов этого хеша — та же техника k-анонимности, которую использует сам официальный сайт haveibeenpwned.com, и она математически исключает возможность восстановить настоящий пароль по тому, что получает API.

В README прямо задокументированы принципы privacy-by-design и security-by-design: отсутствие сохранения данных (заявлено, что пароли никогда не записываются), ограничение частоты запросов против перебора и DoS-атак, санитизация ввода и обязательный HTTPS для всех соединений. Поскольку код открыт, всё это не нужно принимать на веру — любой может прочитать, что именно бот делает с отправленными данными.

Компромиссы типичны для небольшого личного open-source проекта, а не финансируемой компании по безопасности: нет названного конкретного разработчика, кроме юзернейма организации на GitHub, нет формального документа с политикой приватности, а скромное число звёзд на GitHub говорит об ограниченном реальном использовании пока. Воспринимайте его как технически добротный инструмент, а не устоявшийся бренд, и помните: даже чистый результат от любого чекера паролей — не замена уникальному надёжному паролю для каждого аккаунта.