パスワードそのものは送信しません。ブラウザの中でハッシュ（SHA-1）にし、その先頭 5 文字だけを照合先（Have I Been Pwned の Pwned Passwords）に送ります。残りはブラウザ側で照合します（k-匿名方式）。当サイトにも保存しません。
これは何？
世界中の漏洩事件で出回ったパスワード（数十億件）の一覧と照合します。「出回ったことがあるパスワード」は、攻撃者が自動ログインの試行に真っ先に使うので、たとえ覚えやすくても使い続けてはいけません。
出回っていたら
- そのパスワードを使っているサービスをすべて、別々の新しいパスワードに変える
- 覚えられないのでパスワード管理アプリに任せる
- メール・Apple/Google・銀行・通販・SNS は 2 段階認証を付ける
