密码管理与二步验证：账号安全的地基怎么打（2026）
一句话结论：密码要长且每号不同，二步验证按抗钓鱼能力选：通行密钥与安全密钥在前，验证器应用居中，短信垫底；再把备用码离线存好，恢复才有退路。
密码原则：长度优先，每号不同
密码是“你知道的东西”。NIST 在 SP 800-63B-4 里开宗明义：密码不抗钓鱼，再长的密码到了假登录页上照样会被人亲手交出去。密码这一层挡的是猜测与撞库，钓鱼要靠第二因素去挡。
长度优先，是因为长度是决定密码强度的主要因素。NIST 的附录 A 写明，密码长度是表征密码强度的首要因素，过短的密码扛不住暴力猜测与字典攻击。用户面对组合规则时的应对方式高度可预测：首字母大写、末尾加数字、符号固定用一两个，规则越复杂，越会用固定套路应付。
唯一性比复杂度更重要：一个密码只用在一个账号上。服务商泄露密码库是反复发生的事，泄露的密码会被拿去逐个服务试登录，这就是撞库。密码再长，一旦复用，一处泄露就等于处处泄露。邮箱密码不能与任何其他账号相同，因为邮箱是多数账号的恢复枢纽。
- 长度：只靠密码的账号，取 15 位以上；开了二步验证的账号，至少 8 位，且越长越好。能用生成器产生随机长密码时，优先用生成器。
- 唯一性：每个账号一个密码，不复用、不改一个数字就当新密码。旧密码换下来后，不再循环使用。
- 可记性：必须靠脑子记住的密码，用几个不相关词组成的长口令；其余交给密码管理器。
- 泄露后处理：接到泄露提醒或发现异常时，立即更换该账号密码，并检查复用过同一密码的其他账号。
NIST 的官方口径：SP 800-63B-4（2025 年 7 月）
本文引用的官方口径是 NIST SP 800-63B-4《Digital Identity Guidelines: Authentication and Authenticator Management》，2025 年 7 月发布，取代 2017 年 6 月发布、2020 年 3 月 2 日更新的 SP 800-63B。该指南面向与美国政府信息系统交互的身份验证，文件写明非政府组织可自愿采用；本文取其参考意义，不把它说成针对个人的强制标准。以下条目来自原文第 3.1.1.2 节，核查日期 2026-11-13：
- 长度下限：用作单因素验证机制的密码，验证方应当要求至少 15 位；仅用作多因素流程一部分的密码，可以短一些，但至少 8 位。
- 长度上限：验证方应当允许密码长度上限至少为 64 位，支持长口令。
- 组合规则：验证方不得施加其他组合规则，例如要求混合不同字符类型。阻止清单之外，不再强求字符搭配。
- 定期更换：验证方不得要求用户定期更换密码；但有证据表明验证器已泄露时，验证方应当强制更换。
- 泄露比对：验证方应当把新设密码与阻止清单比对，清单包含已知常用、预期或已泄露的密码；命中清单时，要求用户换一个并说明原因。
- 密码管理器：验证方应当允许使用密码管理器与自动填充功能，应当允许在密码框里粘贴，以便密码管理器在自动填充接口不可用时也能用。
8 位这个数字要分清版本：旧版 SP 800-63B 要求自选密码至少 8 位，新版 B-4 把单因素场景的下限提到了 15 位，8 位只保留给多因素场景。本文按 2025 年 7 月的 B-4 版写：没开二步验证的账号，15 位是参照线；开了二步验证的账号，8 位是下限，长一些仍然有益。
定期更换的口径也与旧习惯相反：NIST 的现行口径是不要求定期更换，理由是频繁更换会逼用户用更弱、更好记的密码。更换应当由事件驱动：泄露、异常登录、设备丢失。有事件时，拖延的代价很大。
二步验证的种类与强度排序
二步验证的种类不少，排序的分界线只有一个：这个东西能不能被交给假网站。能被念出来、抄下来、发过去的验证码，都能被假登录页实时转交给真网站；绑定在注册域名的密码学验证，假网站拿不到签名，分界线就在这里。下表按抗钓鱼能力从高到低排列：
| 方式 | 怎么验证 | 抗钓鱼 | 弱点与注意 |
|---|---|---|---|
| 通行密钥 / 安全密钥（FIDO） | 设备内私钥签名，限定在注册域名 | 抗钓鱼 | 丢设备要靠同步或备用方式恢复；硬件密钥建议备第二把 |
| 验证器应用 | 设备按时间生成一次性验证码，离线可用 | 不抗钓鱼，验证码可被转交 | 换机要迁移；只存一台设备有丢失风险 |
| 手机提示 / 推送 | 在已登录设备上点确认，带数字匹配的更稳妥 | 普通推送可被疲劳轰炸 | 只确认本人正在操作的提示；数字匹配是过渡缓解手段 |
| 短信 / 语音验证码 | 验证码经电话网发到号码 | 不抗钓鱼 | 号码可被转移，短信未加密；NIST 列为受限验证器 |
| 备用码 / 恢复码 | 预先发给用户的一次性码 | 不抗钓鱼 | 应急使用，用一次失效一个；丢失等于少一条退路 |
CISA 的口径与这个排序一致。CISA 在面向小企业的指南（2024 年 4 月更新）里写明，任何多因素验证都比没有强，但唯一广泛可用的抗钓鱼验证是 FIDO 验证。CISA 移动通信指南 2.0 版（2025 年 11 月 24 日）把 FIDO 称为强度最高的多因素形式，硬件安全密钥效果居前，通行密钥是可接受的替代；同时要求不再把短信当作第二因素，理由是短信未加密、拦截者可读。该指南主要面向高度受关注人群，普通人阅读时取其排序即可。
NIST 的定性同样明确：密码、带外验证（含短信）、查表 secret（备用码一类）均不抗钓鱼；经公共电话网的带外验证是该版唯一的受限验证器，接受它的机构必须评估风险并提供不受限的替代验证器；同步验证器（通行密钥一类）配置正确时，密钥限定在创建它的域名，抗钓鱼要求可以达成。两份官方文件指向同一条排序。
落地时按平台实际提供的选项选：有通行密钥优先用通行密钥，没有时用验证器应用，只有短信时先开短信再补备用码。开了验证器之后，记得检查短信入口是否还开着：CISA 指南提醒，注册验证器不会自动取消短信，留着的短信入口会成为薄弱的备用路径。恢复路径的细节，见同批文章《2FA 丢失恢复：备用码、恢复流程与事前准备（2026）》。
站内已核验口径：Gmail 与 Proton 怎么落地
Gmail 的口径复用本站已核验的文章。开启两步验证后，可用密码加第二步，或通行密钥登录；创建通行密钥后，默认进入通行密钥优先的无密码登录体验，可以在账号设置里改回密码优先；通行密钥登录会跳过第二步验证，因为验证了设备归属。不使用通行密钥时，Google 推荐用手机提示作为第二步。新添加的两步验证电话号码，最长需要 7 天才被信任，换号后要留出这段时间。详见Gmail 海外使用文章。
应用专用密码是 16 位口令，只给无法使用 Google 登录界面的旧应用与设备，创建前提是已开启两步验证。官方帮助页写明，应用专用密码在多数情况下不推荐、也不必要，优先使用 Google 登录；改密码后，已创建的应用专用密码会被撤销；每个应用专用密码只能查看一次。iPhone 与 iPad 在 iOS 11 及以上版本不需要应用专用密码，直接用 Google 登录。
代发功能有时效注记：自 2027 年 1 月起，Gmail 不再支持第三方邮箱地址的代发功能（Google 公告），Workspace 别名与本人拥有的其他 Gmail 地址不受影响；2026 年第三至第四季度为过渡期，可能限制新配置。域名邮箱的发信方案，见域名邮箱实操文章。三家邮箱的对照，见海外邮箱对比文章。
Proton 的口径同样复用本站已核验文章。两步验证用验证器应用或 U2F、FIDO2 安全密钥，免费档与付费档都有；一个账号可以绑定多个两步验证设备，验证器应用与安全密钥可以同时开；设置两步验证时，Proton 会给出若干一次性备用码。恢复分两步：重置密码，与解密账号数据；恢复短语是 12 个词的序列，两步都覆盖；只用邮箱或短信重置密码，只能完成第一步。Proton 不保存用户密码，丢了密码又没有恢复方式，Proton 也无法替用户重置密码。免费档存储口径为 500MB 起、完成入职清单后 1GB。站长在 2026-11-06 至 11-07 的三次尝试注册均卡在人工验证，账号未确认存在，本文只作尝试记录。详见Proton Mail 指南。
多设备同步与主密码风险
同步解决的是“验证器只在一台设备上”的问题。NIST 把可同步验证器定义为经同步结构把验证密钥复制到多台设备的验证器；密钥可以导出，因此不得用于最高保证等级（AAL3），但密钥仍限定在创建它的域名，抗钓鱼属性保留。同步的代价是同步账号本身成为新的单点，要给同步账号配上同样高规格的保护。
Google Authenticator 的同步规则来自官方帮助页：登录 Google 账号即可在多台设备之间同步验证码，同步功能需要 Android 6.0 以上版本或 iOS 4.0 以上版本；Google 称验证码在传输与静态存储中均加密。不用账号时，验证码只存在本机，换机要靠二维码手动迁移，且需要旧设备在手。换机与丢机的具体路径，见同批文章《2FA 丢失恢复：备用码、恢复流程与事前准备（2026）》。
密码管理器的用法分三个层次。第一层是记录：把现有密码全部存进管理器，不再用纸条与聊天记录存密码。第二层是生成：新密码与更换密码时，用内置生成器产生随机长密码，不再手写密码。第三层是检查：定期看管理器的提醒，处理重复、弱密码与泄露问题。只做到第一层，管理器只是个通讯录；做到第三层，才真正成为防线。本文不逐家评测产品，以各家官方说明为准。
主密码是全部风险集中的地方：管理器把所有密码集中在一处，主密码就是唯一的钥匙。CISA 移动通信指南要求用长、唯一、随机的口令保护保险库主密码。主密码只记在脑子里，不复用，不写在与保险库相同的地方。忘了主密码且没有应急恢复手段，保险库可能打不开；各家应急恢复方式不同，建库时先看清恢复说明。
备用码的存放有三条忌讳：不只存在被保护的服务里，不只存在同一台设备上，不存在密码管理器里去救密码管理器本身——Proton 的备用码指南有此提醒。通行的做法是打印或手写一份，放在家里固定位置；重要账号再留第二份在不同地点。Apple 的恢复密钥指南也是同一逻辑：不要把恢复密钥存在本账号下的云端位置。
给新手的落地顺序
按下面七步做，原则是先保枢纽、再保外围，先建防线、再补退路：
- 第一步，先保邮箱：邮箱是多数账号的恢复枢纽。先给主力邮箱开二步验证、设好恢复信息、存好备用码，再动其他账号。
- 第二步，建密码管理器：选一个能跨设备同步的，设一个长主密码，只记这一个。建库当天就看清该产品的应急恢复说明。
- 第三步，重要账号换密码：邮箱、支付、域名、社交，逐个换成生成器产生的长密码，每号不同。
- 第四步，开二步验证：按强度排序选平台提供的最高一档；每个账号开完，立刻存好备用码，不要拖到“下次再存”。
- 第五步，留第二验证方式：第二台设备、第二个验证器、安全密钥或恢复联系人，至少备一种。只有一个验证方式的账号，丢设备就等于丢账号。
- 第六步，换机前先迁移：换机前先迁移验证器、确认新设备能登录，再抹掉旧设备。丢机后的恢复路径，见同批文章《2FA 丢失恢复：备用码、恢复流程与事前准备（2026）》。
- 第七步，定期复查：检查重复与泄露提醒，清理不再用的验证方式与登录设备；运营商账号加一道电话 PIN，减少号码被转移的风险。
局限与未核实清单
本文未实测，口径来自官方文件与帮助页原文，核查日期 2026-11-13，各平台可能随时调整。未能核实：各密码管理器产品的应急恢复细节与价格；各平台通行密钥的具体支持范围，随版本变化；短信验证码在具体平台的接受情况；Apple 与 Microsoft 之外平台的恢复时限细节；CISA 面向高度受关注人群的建议，本文只取其强度排序。行动前以官方帮助页为准，先用非关键账号测试。
2026-11-13：首发
相关：邮箱与电话号码 · Gmail 海外使用 · Proton Mail 指南 · 海外邮箱对比 · 服务器安全基础 · 方法论