Contraseñas filtradas y cómo se revisan

Comparar con un corpus de filtraciones plantea una pregunta incómoda: ¿hay que enviar la contraseña a un tercero para saber si está filtrada? No. El servicio de contraseñas filtradas más conocido usa una técnica llamada k-anonimato: el cliente calcula el resumen SHA-1 de la contraseña, envía solo los 5 primeros caracteres y recibe los finales de todos los resúmenes que comparten ese comienzo. La comparación completa se hace en el servidor de quien consulta.

La tabla servicio_consulta lo resume para Paramillo.

El validador de Paramillo comprueba cuatro fuentes (tabla fuentes_bloqueo) y deja un renglón por cada intento en validaciones. Para medir cuánto sirve la lista de filtraciones hay que contar los rechazos cuyo motivo es ese. El conteo no lo da una celda: se hace sobre el registro.

Una lista de bloqueo solo protege si se mantiene. El corpus de filtraciones se actualiza fuera de la empresa; las listas propias, como los términos de la empresa, dependen de que alguien las edite cuando cambian marcas, sedes o productos. Revisa la fecha de la última actualización de cada fuente y reporta la más antigua.

Dos rechazos se debieron a que la persona usó su propio nombre de usuario dentro de la contraseña. Uno de ellos era de las más largas del registro, y aun así fue rechazado. La longitud ayuda, pero no salva una contraseña predecible o derivada de datos públicos de la cuenta.

Consulta los rechazos por ese motivo y reporta la cuenta del intento más largo.

El mensaje de rechazo tiene que servir a la persona sin contar de más. Debe decir por qué se rechazó, para que no pruebe una variante igual de conocida, y pedir otra contraseña. No debe mostrar la lista, ni la contraseña de nadie, ni sugerir que el problema es de la persona.