密码管理器怎么用？强密码与通行密钥一文讲清

密码管理器是一种 App，它会为每个账号生成、保存并自动填充不同的强密码，你只需要记住一个密码。再配合通行密钥（Passkey）——用面容、指纹或锁屏密码代替密码登录——就能消除日常生活中最大的风险：在很多地方用同一个密码。

你的邮箱、银行和社交账号，主要靠密码保护。一旦某个密码被盗，坏人就能看你的消息、重置其他账号，甚至花掉你的钱。解决这个问题花的时间比你想象的少，也不需要任何技术基础。

真正的危险是密码重复使用

大多数人担心的是密码被猜中，其实更大的问题是一个密码到处用。

当某个网站发生数据泄露时，邮箱和密码列表往往会在网上流传。攻击者会用自动化工具，拿这些账号密码组合去其他网站逐一尝试，比如邮箱、银行和购物平台。这就叫撞库。

如果你在某个小网店用的密码泄露了，而你的邮箱也用同一个密码，攻击者就能登录你的邮箱，再通过邮箱重置几乎所有其他账号。

所以，每个账号都需要独立的密码。没人记得住几十个密码，这正是密码管理器的用武之地。

现在什么样的密码才算强密码

长度比复杂度更重要。一个长密码，远比一个塞满符号的短密码难猜。

• 至少 12 到 16 位，重要账号可以更长。
• 试试密码短语：四个或更多随机、互不相关的词，比如 river-candle-orbit-pepper，也可以用几个拼音词组合。够长、好输入，也好记。
• 不要用个人信息，比如姓名、生日或手机号。
• 避开常见套路，比如“Password1!”，或在旧密码后面加上年份。
• 绝不重复使用。 一个强密码如果在十个网站上用，它的安全程度只取决于其中最弱的那个网站。

你只需要记住少数几个：手机解锁密码、主邮箱密码，以及密码管理器的主密码。

密码管理器的原理和入门方法

密码管理器把你的密码保存在一个加密的“密码库”里。密码库用一个主密码锁住，通常还可以用指纹或面容解锁。它会推荐新的随机密码，并自动填充已保存的密码，但只会在当初保存时对应的真实网站上填充，这有助于防范假冒的登录页面。

选择密码管理器

• 手机或浏览器自带的密码管理器。 iPhone、安卓、Windows、macOS 以及主流浏览器都内置了密码管理功能，可以生成、保存和同步密码。这是最容易上手的选择。
• 口碑良好的独立密码管理器。 这类产品可以跨平台、跨浏览器使用，适合同时用多种设备的人。只从 App Store、Google Play 或开发者官网下载安装。

一步步设置

1. 设置一个强主密码：一个你从未在别处用过的长密码短语。
2. 为保存密码的账号开启两步验证。我们的两步验证指南介绍了具体方法。
3. 设置恢复选项，比如恢复密钥或恢复联系人，并妥善保管。
4. 接下来几天登录各个账号时，让密码管理器顺手保存密码。
5. 先用密码管理器的“生成密码”功能，替换最重要账号的密码（邮箱、银行、手机运营商账号、社交账号）。每周改几个就行。

通行密钥是什么？一句话讲清

那么，通行密钥到底是什么？通行密钥（Passkey）是一种更新的登录方式，可以完全取代密码。你确认身份的方式，和解锁手机或电脑一样：面容、指纹或 PIN 码。

在后台，你的设备会生成一对数字密钥。网站只保存其中的公钥部分，私钥则保护在你的设备或密码管理器里，永远不会发送给网站。这意味着：

• 网站上没有可偷的东西。 即使网站泄露，也不会泄露任何可被重复利用的密码。
• 防钓鱼。 通行密钥只在创建它的真实网站上有效，假冒的登录页面骗不走它。
• 多设备同步。 保存在系统自带或独立密码管理器中的通行密钥，会同步到登录了同一账号的其他设备上。

如果你要在一台没有通行密钥的电脑上登录，网站可以显示一个二维码。用手机扫码并确认即可；手机必须就在电脑旁边。

如何把账号切换到通行密钥

1. 像平时一样登录账号，打开安全或登录设置。
2. 找到“通行密钥”或“创建通行密钥”之类的选项。
3. 用面容、指纹或锁屏密码确认，并选择保存位置。
4. 退出登录，再用通行密钥重新登录一次，测试是否正常。
5. 有些服务会保留密码作为备用，所以要确保这个密码依然够强、独一无二。

并不是所有网站都支持通行密钥，能用的地方就用，其余的交给密码管理器。

查询密码是否泄露

iPhone、安卓和主流浏览器自带的密码管理器，以及大多数独立密码管理器，都有“密码检查”或“安全建议”功能。它会在已保存的密码出现以下情况时提醒你：

• 出现在已知的数据泄露事件中，
• 在多个账号上重复使用，或
• 太弱、容易被猜中。

每隔几个月打开看看，从最重要的账号开始，把警告逐一处理掉。

发生数据泄露后该怎么办

如果某个服务通报了数据泄露，或者密码检查功能向你发出警告，请按以下顺序处理：

1. 修改该账号的密码，用密码管理器生成一个新密码。
2. 在其他用过同一密码的地方也全部修改。 真正的损失往往来自重复使用。
3. 如果还没开启，为该账号开启两步验证或通行密钥。
4. 检查账号，看有没有陌生设备、邮件自动转发规则，或被修改过的找回信息。
5. 如果支付信息可能已经泄露，留意银行账单，发现异常立即联系银行。
6. 对各种消息提高警惕。 数据泄露之后，骗子常常会发假冒的“安全警报”邮件、短信或二维码。请打开官方 App 或自己输入网址，不要点链接；也可以看看我们的二维码钓鱼邮件指南。

快速自查清单

1. 每个重要账号都有独立的密码。
2. 主要密码是较长的密码短语，而不是复杂但很短的单词。
3. 正在使用系统自带或口碑良好的独立密码管理器。
4. 主密码足够强，且没有在其他任何地方使用。
5. 密码管理器的恢复选项已妥善保存。
6. 邮箱和密码管理器都开启了两步验证。
7. 支持通行密钥的账号已经开启。
8. 每隔几个月做一次密码检查。

FAQ

把所有密码都存在一个密码管理器里安全吗？

安全。对大多数人来说，这比重复使用密码安全得多。密码库经过加密，并由主密码锁定，所以要保护好主密码，并开启两步验证。

忘记主密码怎么办？

这取决于你用的密码管理器。很多产品提供恢复密钥或恢复联系人，所以第一天就应该把它们设置好。

通行密钥能取代两步验证吗？

通行密钥本身就结合了两个因素：你拥有的东西（你的设备），以及你是谁或你知道的东西（指纹、面容或 PIN 码）。因此，很多服务认为单用通行密钥登录就已经足够安全。

存有通行密钥的手机丢了怎么办？

如果你的通行密钥通过密码管理器同步，在新设备上登录后就能找回。我们的手机安全小知识介绍了手机丢失后还应该做些什么。

独立密码和通行密钥能阻止大多数盗号行为，所以这周就把密码管理器设置好，从邮箱开始。当收到附带二维码的“安全警报”时，打开之前先用 QR-TH 的免费在线扫描二维码工具看看它真正指向哪里。