双重验证（2FA，也叫两步验证或双因素认证）在你登录时要求提供两种不同的东西：一是你知道的，比如密码；二是你拥有的，比如手机上身份验证器 App 生成的六位数验证码。即使有人偷到了你的密码，没有第二重验证也进不去。
这是普通人能采取的最有效的安全措施之一，通常几分钟就能设置好。本文介绍双重验证的原理、该选哪种方式，以及如何避免把自己锁在账号外面。
为什么只有密码还不够
密码泄露的途径很多：同一个密码在多个网站重复使用，网站数据遭到泄露，钓鱼页面诱骗人们把账号密码输入假表单。一旦密码被别人知道，任何人都可以拿它去试你的邮箱、社交媒体或网购账号。
双重验证相当于多加了一把锁。光有被盗的密码已经不够了，因为攻击者还需要你设备上的验证码。这让很多常见的盗号手段变得困难得多，特别是那些依靠重复使用或已泄露密码的攻击。
第二重验证的主要类型
不同的第二重验证，安全强度并不一样。最常见的有：
- 身份验证器 App。 Google Authenticator、Microsoft Authenticator 等兼容的 App 每 30 秒生成一个新的六位数验证码。验证码在你的手机上生成，不经过电信网络传输。
- 短信验证码。 验证码通过短信发送。比没有双重验证好得多，但短信可能被拦截或转移，例如“SIM 卡调换”诈骗：犯罪分子设法让运营商把你的号码转移到他们的 SIM 卡上。
- 推送通知。 有些服务会向你手机上的 App 推送“是你本人在登录吗？”的提示。很方便，但绝不要批准你没有预料到的请求。
- 安全密钥和通行密钥（Passkey）。 实体安全密钥或保存在设备上的通行密钥是最强的选择之一，因为它们专门设计用来抵御钓鱼。不过各服务的支持情况不一。
对大多数人来说，身份验证器 App 安全又实用。如果某个服务只提供短信验证，也请照样开启，它仍然比只用密码好得多。
身份验证器 App 是怎么工作的
当你用身份验证器 App 开启双重验证时，网站会显示一个二维码，里面包含一个密钥。你用身份验证器 App 扫一次，之后 App 和网站就会根据这个共享密钥和当前时间，算出同一个六位数验证码。
因为验证码每 30 秒就会变化，就算被人从背后瞄到，过一会儿也就没用了。而且验证码是在手机上计算出来的，所以即使没有网络，App 也能正常使用。
有一点很重要：设置时显示的那个二维码属于敏感信息。任何人扫了它，都能生成你的验证码。不要截图，不要分享，也不要让它停留在别人看得到的屏幕上。
如何一步步开启双重验证
不同服务的菜单不尽相同，但流程通常一样：
- 在手机上安装一个身份验证器 App。
- 登录你想保护的账号，打开安全设置。
- 找到“双重验证”“两步验证”或“二次验证”之类的选项，选择身份验证器 App 方式。
- 用身份验证器 App 扫描屏幕上显示的二维码。
- 输入 App 中显示的六位数验证码，确认设置成功。
- 保存服务提供的备用码（见下一节）。
- 退出登录再重新登录一次，确认一切正常。
先从最重要的账号开始：你的主邮箱（因为它能重置其他账号的密码）、网银、社交媒体、云存储，以及任何保存了支付信息的账号。在 QR-TH 上，你可以在账户设置中用身份验证器 App 开启两步登录，防止你的二维码和短链接被他人篡改。
备用码：找回账号的钥匙
双重验证最常见的问题不是被黑，而是手机丢了。如果手机丢失、被盗、损坏或更换，你需要另一种方式登录。
这就是备用码的作用。大多数服务在你开启双重验证时，会给你一组一次性代码，每个代码可以代替 App 验证码使用一次。
妥善保存备用码：
- 打印出来，放在家里安全的地方，或者
- 保存在可靠的密码管理器中，并且
- 不要只存在装有身份验证器 App 的那部手机上。
每个备用码只能用一次，用过一个就划掉。快用完时，大多数服务都允许你重新生成一组，旧的那组会随之作废。
换手机时如何不被锁在外面
在重置、出售或以旧换新之前，先把身份验证器里的账号迁移到新手机上。有些身份验证器 App 提供迁移或云备份功能，有些则需要你为每个账号重新设置双重验证。
稳妥的做法是：
- 在新手机上确认所有账号都能正常使用之前，旧手机先别动。
- 对于无法迁移的账号，登录后关闭再重新开启双重验证，用新手机扫描新的二维码。
- 清空旧手机之前，逐个测试每个账号。
双重验证的常见误区
- 把验证码告诉别人。 任何正规的银行、商家或客服都不会让你报出验证码。谁问你要，十有八九就是骗子。
- 批准意外的登录请求。 如果收到一个不是你发起的登录请求，拒绝它，然后修改密码。
- 在通过消息链接打开的页面里输入验证码。 钓鱼网站也会索要验证码。请直接访问官方网站。
- 跳过备用码。 保存备用码只要一分钟，却能省下好几天的账号找回麻烦。
更多日常防护方法，请阅读我们的手机安全小贴士，并了解如何识别试图盗取登录信息的二维码诈骗。
常见问题
双重验证真的有必要吗？
对于邮箱、网银、社交媒体等重要账号，非常有必要。它能挡住很多依靠被盗密码或重复密码的攻击。
身份验证器 App 比短信验证码更安全吗？
一般来说是的。身份验证器的验证码在手机本地生成，而短信验证码可能被拦截，或通过 SIM 卡调换诈骗被转移。但短信验证仍然比没有双重验证好。
手机丢了怎么办？
用一个事先保存的备用码登录，然后在新手机上重新设置双重验证。如果没有备用码，就只能走服务商的账号找回流程。
别人拿到我的验证码就能盗我的号吗？
验证码只在很短的时间内有效，但如果骗子实时诱骗你说出验证码，就有可能立即使用。永远不要把验证码告诉任何人。
开启双重验证只需几分钟，却能让你的账号难破解得多。今天就为你的邮箱和网银开启它，再为你的 QR-TH 账号开启两步登录。更多信息请查看我们的常见问题。