密碼管理與二步驗證：賬號安全的地基怎麼打（2026）
一句話結論：密碼要長且每號不同，二步驗證按抗釣魚能力選：通行金鑰與安全金鑰在前，驗證器應用居中，簡訊墊底；再把備用碼離線存好，恢復才有退路。
密碼原則：長度優先，每號不同
密碼是“你知道的東西”。NIST 在 SP 800-63B-4 裡開宗明義：密碼不抗釣魚，再長的密碼到了假登入頁上照樣會被人親手交出去。密碼這一層擋的是猜測與撞庫，釣魚要靠第二因素去擋。
長度優先，是因為長度是決定密碼強度的主要因素。NIST 的附錄 A 寫明，密碼長度是表徵密碼強度的首要因素，過短的密碼扛不住暴力猜測與字典攻擊。使用者面對組合規則時的應對方式高度可預測：首字母大寫、末尾加數字、符號固定用一兩個，規則越複雜，越會用固定套路應付。
唯一性比複雜度更重要：一個密碼只用在一個賬號上。服務商洩露密碼庫是反覆發生的事，洩露的密碼會被拿去逐個服務試登入，這就是撞庫。密碼再長，一旦複用，一處洩露就等於處處洩露。郵箱密碼不能與任何其他賬號相同，因為郵箱是多數賬號的恢復樞紐。
- 長度：只靠密碼的賬號，取 15 位以上；開了二步驗證的賬號，至少 8 位，且越長越好。能用生成器產生隨機長密碼時，優先用生成器。
- 唯一性：每個賬號一個密碼，不復用、不改一個數字就當新密碼。舊密碼換下來後，不再迴圈使用。
- 可記性：必須靠腦子記住的密碼，用幾個不相關片語成的長口令；其餘交給密碼管理器。
- 洩露後處理：接到洩露提醒或發現異常時，立即更換該賬號密碼，並檢查複用過同一密碼的其他賬號。
NIST 的官方口徑：SP 800-63B-4（2025 年 7 月）
本文引用的官方口徑是 NIST SP 800-63B-4《Digital Identity Guidelines: Authentication and Authenticator Management》，2025 年 7 月釋出，取代 2017 年 6 月釋出、2020 年 3 月 2 日更新的 SP 800-63B。該指南面向與美國政府資訊系統互動的身份驗證，檔案寫明非政府組織可自願採用；本文取其參考意義，不把它說成針對個人的強制標準。以下條目來自原文第 3.1.1.2 節，核查日期 2026-11-13：
- 長度下限：用作單因素驗證機制的密碼，驗證方應當要求至少 15 位；僅用作多因素流程一部分的密碼，可以短一些，但至少 8 位。
- 長度上限：驗證方應當允許密碼長度上限至少為 64 位，支援長口令。
- 組合規則：驗證方不得施加其他組合規則，例如要求混合不同字元型別。阻止清單之外，不再強求字元搭配。
- 定期更換：驗證方不得要求使用者定期更換密碼；但有證據表明驗證器已洩露時，驗證方應當強制更換。
- 洩露比對：驗證方應當把新設密碼與阻止清單比對，清單包含已知常用、預期或已洩露的密碼；命中清單時，要求使用者換一個並說明原因。
- 密碼管理器：驗證方應當允許使用密碼管理器與自動填充功能，應當允許在密碼框裡貼上，以便密碼管理器在自動填充介面不可用時也能用。
8 位這個數字要分清版本：舊版 SP 800-63B 要求自選密碼至少 8 位，新版 B-4 把單因素場景的下限提到了 15 位，8 位只保留給多因素場景。本文按 2025 年 7 月的 B-4 版寫：沒開二步驗證的賬號，15 位是參照線；開了二步驗證的賬號，8 位是下限，長一些仍然有益。
定期更換的口徑也與舊習慣相反：NIST 的現行口徑是不要求定期更換，理由是頻繁更換會逼使用者用更弱、更好記的密碼。更換應當由事件驅動：洩露、異常登入、裝置丟失。有事件時，拖延的代價很大。
二步驗證的種類與強度排序
二步驗證的種類不少，排序的分界線只有一個：這個東西能不能被交給假網站。能被念出來、抄下來、發過去的驗證碼，都能被假登入頁實時轉交給真網站；繫結在註冊域名的密碼學驗證，假網站拿不到簽名，分界線就在這裡。下表按抗釣魚能力從高到低排列：
| 方式 | 怎麼驗證 | 抗釣魚 | 弱點與注意 |
|---|---|---|---|
| 通行金鑰 / 安全金鑰（FIDO） | 裝置內私鑰簽名，限定在註冊域名 | 抗釣魚 | 丟裝置要靠同步或備用方式恢復；硬體金鑰建議備第二把 |
| 驗證器應用 | 裝置按時間生成一次性驗證碼，離線可用 | 不抗釣魚，驗證碼可被轉交 | 換機要遷移；只存一臺裝置有丟失風險 |
| 手機提示 / 推送 | 在已登入裝置上點確認，帶數字匹配的更穩妥 | 普通推送可被疲勞轟炸 | 只確認本人正在操作的提示；數字匹配是過渡緩解手段 |
| 簡訊 / 語音驗證碼 | 驗證碼經電話網發到號碼 | 不抗釣魚 | 號碼可被轉移，簡訊未加密；NIST 列為受限驗證器 |
| 備用碼 / 恢復碼 | 預先發給使用者的一次性碼 | 不抗釣魚 | 應急使用，用一次失效一個；丟失等於少一條退路 |
CISA 的口徑與這個排序一致。CISA 在面向小企業的指南（2024 年 4 月更新）裡寫明，任何多因素驗證都比沒有強，但唯一廣泛可用的抗釣魚驗證是 FIDO 驗證。CISA 行動通訊指南 2.0 版（2025 年 11 月 24 日）把 FIDO 稱為強度最高的多因素形式，硬體安全金鑰效果居前，通行金鑰是可接受的替代；同時要求不再把簡訊當作第二因素，理由是簡訊未加密、攔截者可讀。該指南主要面向高度受關注人群，普通人閱讀時取其排序即可。
NIST 的定性同樣明確：密碼、帶外驗證（含簡訊）、查表 secret（備用碼一類）均不抗釣魚；經公共電話網的帶外驗證是該版唯一的受限驗證器，接受它的機構必須評估風險並提供不受限的替代驗證器；同步驗證器（通行金鑰一類）配置正確時，金鑰限定在建立它的域名，抗釣魚要求可以達成。兩份官方檔案指向同一條排序。
落地時按平臺實際提供的選項選：有通行金鑰優先用通行金鑰，沒有時用驗證器應用，只有簡訊時先開簡訊再補備用碼。開了驗證器之後，記得檢查簡訊入口是否還開著：CISA 指南提醒，註冊驗證器不會自動取消簡訊，留著的簡訊入口會成為薄弱的備用路徑。恢復路徑的細節，見同批文章《2FA 丟失恢復：備用碼、恢復流程與事前準備（2026）》。
站內已核驗口徑：Gmail 與 Proton 怎麼落地
Gmail 的口徑複用本站已核驗的文章。開啟兩步驗證後，可用密碼加第二步，或通行金鑰登入；建立通行金鑰後，預設進入通行金鑰優先的無密碼登入體驗，可以在賬號設定裡改回密碼優先；通行金鑰登入會跳過第二步驗證，因為驗證了裝置歸屬。不使用通行金鑰時，Google 推薦用手機提示作為第二步。新新增的兩步驗證電話號碼，最長需要 7 天才被信任，換號後要留出這段時間。詳見Gmail 海外使用文章。
應用專用密碼是 16 位口令，只給無法使用 Google 登入介面的舊應用與裝置，建立前提是已開啟兩步驗證。官方幫助頁寫明，應用專用密碼在多數情況下不推薦、也不必要，優先使用 Google 登入；改密碼後，已建立的應用專用密碼會被撤銷；每個應用專用密碼只能檢視一次。iPhone 與 iPad 在 iOS 11 及以上版本不需要應用專用密碼，直接用 Google 登入。
代發功能有時效註記：自 2027 年 1 月起，Gmail 不再支援第三方郵箱地址的代發功能（Google 公告），Workspace 別名與本人擁有的其他 Gmail 地址不受影響；2026 年第三至第四季度為過渡期，可能限制新配置。域名郵箱的發信方案，見域名郵箱實操文章。三家郵箱的對照，見海外郵箱對比文章。
Proton 的口徑同樣複用本站已核驗文章。兩步驗證用驗證器應用或 U2F、FIDO2 安全金鑰，免費檔與付費檔都有；一個賬號可以繫結多個兩步驗證裝置，驗證器應用與安全金鑰可以同時開；設定兩步驗證時，Proton 會給出若干一次性備用碼。恢復分兩步：重置密碼，與解密賬號資料；恢復短語是 12 個詞的序列，兩步都覆蓋；只用郵箱或簡訊重置密碼，只能完成第一步。Proton 不儲存使用者密碼，丟了密碼又沒有恢復方式，Proton 也無法替使用者重置密碼。免費檔儲存口徑為 500MB 起、完成入職清單後 1GB。站長在 2026-11-06 至 11-07 的三次嘗試註冊均卡在人工驗證，賬號未確認存在，本文只作嘗試記錄。詳見Proton Mail 指南。
多裝置同步與主密碼風險
同步解決的是“驗證器只在一臺裝置上”的問題。NIST 把可同步驗證器定義為經同步結構把驗證金鑰複製到多臺裝置的驗證器；金鑰可以匯出，因此不得用於最高保證等級（AAL3），但金鑰仍限定在建立它的域名，抗釣魚屬性保留。同步的代價是同步賬號本身成為新的單點，要給同步賬號配上同樣高規格的保護。
Google Authenticator 的同步規則來自官方幫助頁：登入 Google 賬號即可在多臺裝置之間同步驗證碼，同步功能需要 Android 6.0 以上版本或 iOS 4.0 以上版本；Google 稱驗證碼在傳輸與靜態儲存中均加密。不用賬號時，驗證碼只存在本機，換機要靠二維碼手動遷移，且需要舊裝置在手。換機與丟機的具體路徑，見同批文章《2FA 丟失恢復：備用碼、恢復流程與事前準備（2026）》。
密碼管理器的用法分三個層次。第一層是記錄：把現有密碼全部存進管理器，不再用紙條與聊天記錄存密碼。第二層是生成：新密碼與更換密碼時，用內建生成器產生隨機長密碼，不再手寫密碼。第三層是檢查：定期看管理器的提醒，處理重複、弱密碼與洩露問題。只做到第一層，管理器只是個通訊錄；做到第三層，才真正成為防線。本文不逐家評測產品，以各家官方說明為準。
主密碼是全部風險集中的地方：管理器把所有密碼集中在一處，主密碼就是唯一的鑰匙。CISA 行動通訊指南要求用長、唯一、隨機的口令保護保險庫主密碼。主密碼只記在腦子裡，不復用，不寫在與保險庫相同的地方。忘了主密碼且沒有應急恢復手段，保險庫可能打不開；各家應急恢復方式不同，建庫時先看清恢復說明。
備用碼的存放有三條忌諱：不只存在被保護的服務裡，不只存在同一臺裝置上，不存在密碼管理器裡去救密碼管理器本身——Proton 的備用碼指南有此提醒。通行的做法是列印或手寫一份，放在家裡固定位置；重要賬號再留第二份在不同地點。Apple 的恢復金鑰指南也是同一邏輯：不要把恢復金鑰存在本賬號下的雲端位置。
給新手的落地順序
按下面七步做，原則是先保樞紐、再保外圍，先建防線、再補退路：
- 第一步，先保郵箱：郵箱是多數賬號的恢復樞紐。先給主力郵箱開二步驗證、設好恢復資訊、存好備用碼，再動其他賬號。
- 第二步，建密碼管理器：選一個能跨裝置同步的，設一個長主密碼，只記這一個。建庫當天就看清該產品的應急恢復說明。
- 第三步，重要賬號換密碼：郵箱、支付、域名、社交，逐個換成生成器產生的長密碼，每號不同。
- 第四步，開二步驗證：按強度排序選平臺提供的最高一檔；每個賬號開完，立刻存好備用碼，不要拖到“下次再存”。
- 第五步，留第二驗證方式：第二臺裝置、第二個驗證器、安全金鑰或恢復聯絡人，至少備一種。只有一個驗證方式的賬號，丟裝置就等於丟賬號。
- 第六步，換機前先遷移：換機前先遷移驗證器、確認新裝置能登入，再抹掉舊裝置。丟機後的恢復路徑，見同批文章《2FA 丟失恢復：備用碼、恢復流程與事前準備（2026）》。
- 第七步，定期複查：檢查重複與洩露提醒，清理不再用的驗證方式與登入裝置；運營商賬號加一道電話 PIN，減少號碼被轉移的風險。
侷限與未核實清單
本文未實測，口徑來自官方檔案與幫助頁原文，核查日期 2026-11-13，各平臺可能隨時調整。未能核實：各密碼管理器產品的應急恢復細節與價格；各平臺通行金鑰的具體支援範圍，隨版本變化；簡訊驗證碼在具體平臺的接受情況；Apple 與 Microsoft 之外平臺的恢復時限細節；CISA 面向高度受關注人群的建議，本文只取其強度排序。行動前以官方幫助頁為準，先用非關鍵賬號測試。
2026-11-13：首發
相關：郵箱與電話號碼 · Gmail 海外使用 · Proton Mail 指南 · 海外郵箱對比 · 伺服器安全基礎 · 方法論