Búsqueda inversa de MD5

Funciones

• Una lista de contraseñas comunes (las que encabezan las estadísticas de contraseñas débiles)
• Enumeración numérica hasta 5 cifras y de minúsculas hasta 4 letras
• Indica cuántos candidatos se probaron, para que «encontrado» y «no encontrado» tengan escala
• Cuando no hay coincidencia, lo dice sin rodeos y explica que es un resultado normal, no un fallo
• Si la longitud del digest no cuadra, se señala directamente (SHA-1 son 40 caracteres, SHA-256 son 64)
• Todo se calcula en tu equipo: sin subir nada ni consultar bases en línea

Cómo se usa

1. Pega el digest hexadecimal de 32 caracteres (también se toleran prefijos como `hash:`)
2. Elige el rango de búsqueda: la lista de contraseñas comunes predeterminada es instantánea
3. Pulsa Ctrl/⌘ + Enter o haz clic en Ejecutar
4. Obtendrás una explicación coincida o no

Preguntas frecuentes

¿Por qué insistes en que no es descifrado?

Porque MD5 es de un solo sentido por diseño: comprime una entrada de longitud arbitraria en 128 bits, y ese proceso no es reversible: no existe función inversa. Todo «descifrado» es conjetura: calcular candidatos y comparar. Así que lo que sale es solo alguna cadena con el mismo digest, y en principio otras innumerables lo comparten (aunque construir una sea poco práctico). Esto importa: si el digest es de tu propia contraseña, significa que apareció en alguna filtración y que ya era débil de entrada. Si es de otra persona, no estás haciendo mucho más que adivinar.

¿Por qué no se encuentra mi digest?

Casi siempre porque la contraseña es más larga que la profundidad de enumeración o mezcla mayúsculas y símbolos, ambas fuera del alcance de esta herramienta. Hay un caso más que conviene conocer: si el hash tiene sal (`md5(password + salt)`), ningún diccionario ni tabla arcoíris lo encontrará jamás, porque la sal cambia el digest — que es precisamente la finalidad de la sal. Un hash con sal solo lo puede recalcular quien conozca la sal.

¿En qué se diferencia de los «sitios de descifrado MD5»?

Muchísimo menos alcance, pero la privacidad va al revés. Esos sitios se apoyan en cientos de gigabytes de tablas arcoíris y clústeres de GPU y encontrarán mucho más, al precio de que tienes que enviarles el hash (a veces de pago). Esta herramienta corre solo en local, sin subir nada ni consultar nada, así que su alcance se queda en las contraseñas débiles. Cuál elegir depende de si tu hash es sensible: para tu propia contraseña débil sirve cualquiera; para algo ligado a una cuenta real, mantenerlo en local es la opción más segura.