强密码与密码管理器：实用指南
创建强密码是保护账户最便宜、也最有效的方法之一。然而，我们大多数人仍在数十个网站上重复使用同样的几个密码。本指南将说明好密码应该是什么样子，为什么每个账户都需要不同的密码，以及密码管理器如何替您分担记忆负担。
什么样的密码才算强？
强密码难以被猜到，不会在其他地方重复使用，也绝不与他人分享。最重要的因素不是复杂度，而是长度。例如“P@ssw0rd!”看起来很复杂，但它很短，而且遵循了人人都知道的套路。由互不相关的单词组成的长短语，既更安全，也更容易记住。
一条实用的经验法则：
- 让它足够长。 至少 14 到 16 个字符，重要账户可以更长。
- 让它足够随机。 避免使用生日、宠物名字、团队名称或电话号码：任何身边的人都可能猜到的内容。
- 让它独一无二。 每个账户都应使用与其他账户完全不同的密码。
- 避免可预测的小技巧。 在末尾加上“1”、用数字替换字母，或使用“123456”这类序列，都骗不了任何人。
口令短语法
对于您必须记住的少数密码（例如密码管理器的主密码和您的邮箱密码），由四到五个随机单词组成的口令短语效果很好。单词必须真正随机挑选，而不是来自某首诗或歌曲。如果可以，使用骰子或密码管理器内置的生成器。再加上一个分隔符和一两个数字就足够了。
为什么不应重复使用密码
密码最大的风险不在于强度不够，而在于重复使用。当某个服务遭遇数据泄露时，泄露的邮箱和密码组合会被尝试用于其他网站。如果您在多个地方使用了同一个密码，一次泄露就会让它们全部面临风险。因此，您的社交媒体、邮箱、银行和购物账户都应各有各的密码。
您的邮箱是最关键的账户，因为大多数服务的“忘记密码”链接都会发送到那里。能够进入您邮箱的人，往往也能找到进入您其他账户的办法。请为邮箱设置一个独一无二的长密码，并开启两步验证。
什么是密码管理器，它为什么有帮助？
密码管理器会将您所有的密码存放在加密的保险库中，并在需要时自动填充。您只需记住一个强大的主密码，其余的交给保险库处理。它能为您带来以下好处：
- 生成唯一密码。 它为每个账户生成一个长且随机的密码，您无需记住它。
- 自动填充。 它只会在正确的网址上填充密码，这也能起到警示作用，防范假登录页面。如果管理器没有提示填充，请将其视为危险信号。
- 同步。 您可以在手机、平板和电脑上访问同一个保险库。
- 弱密码和重复密码报告。 许多管理器会标记弱密码、旧密码或重复的密码。
- 安全笔记。 恢复码、私密笔记和银行卡信息都可以保存在同一个保险库中。
应该选择哪种类型？
| 选项 | 优点 | 需要注意 |
|---|---|---|
| 浏览器内置管理器 | 无需额外设置，使用方便 | 很大程度上取决于设备和账户安全；在不同浏览器之间迁移数据可能受限 |
| 独立密码管理器 | 支持多平台，提供额外功能 | 您必须牢记主密码，并应设置找回选项 |
| 离线（本地）保险库 | 数据只保存在您的设备上 | 备份和同步由您自己负责 |
无论您选择哪一种，请确认该产品会定期更新，并说明其如何处理加密。
分步切换到密码管理器
您不必在一天之内更改所有密码。可以按照以下顺序进行：
- 选择一个密码管理器，并设置一个长且独一无二的主密码。绝不要把它用于其他任何地方。
- 将找回信息（恢复密钥或恢复码）写在纸上，并妥善保存。如果您忘记了主密码，大多数管理器都无法帮您找回。
- 为密码管理器本身开启两步验证。要比较各种选项，请参阅我们的两步验证方式文章。
- 用生成的密码替换旧密码，从邮箱开始，然后是银行、社交媒体和购物账户。
- 逐步处理较旧的账户。删除您不再使用的账户，也能减少暴露的风险。
常见错误
- 把密码保存在浏览器备忘录、手机备忘录或纯文本文件里。 一旦设备被入侵，所有内容都会暴露。
- 把密码通过邮件或消息发给自己。 这些消息可能在归档中保存多年。
- 修改密码时只在末尾加一个数字。
- 使用由单个单词组成的字典密码。
- 在安全问题中填写真实答案。 比如母亲的婚前姓氏，常常可以在社交媒体上找到。请改用随机答案，并保存在您的保险库中。
- 在共享设备上保存密码。 在公共电脑上不要勾选“记住我”。
仅有密码还不够
即使是最好的密码，也可能有一天会泄露。因此，您应该增加第二层保护：两步验证。短信验证码总比没有好，但身份验证器应用或安全密钥更加可靠。允许免密码登录的通行密钥也正变得越来越普遍。
如果您只是为了试用某项服务，或只做一次性注册，就不必交出您的真实手机号码。虚拟号码可以让您在不分享自己号码的情况下接收验证码。请记住，虚拟号码是一次性的，因此如果您打算长期使用该账户，请添加密码管理器、找回邮箱和两步验证。部分平台可能会限制虚拟号码，您始终应遵守每个平台的使用条款。您可以在我们的价格页面查看当前的选项。
常见问题
密码管理器不是单点故障吗？
这是一个合理的担忧。因此，您应该让主密码足够长，开启两步验证，并将找回信息离线保存。这通常远比依赖重复使用的弱密码安全得多。
我应该多久更换一次密码？
您不需要按照固定的时间表更换所有密码。强大且独一无二的密码，只要没有泄露迹象，就不必更换。如果某个服务报告了数据泄露，或您注意到异常活动，请立即更换。
把密码写在笔记本上安全吗？
锁在家里的纸质笔记本，大多数在线攻击都够不着，但它可能会丢失。把少数关键内容（如主密码和恢复密钥）写在纸上是合理的做法。把所有密码都写在纸上则不切实际。
在浏览器中保存密码就够了吗？
总比完全不保存要好，但这取决于您的设备和浏览器账户的安全性。请设置屏幕锁，并在账户上开启两步验证。如果您需要更多功能，可以考虑使用独立的密码管理器。