密码怎么设置更安全：长度、管理器和两步验证
很多人对“安全密码”的印象还停留在：必须有大写、小写、数字、特殊符号，还要每三个月换一次。结果是大家把密码设成 Abc@2024 这种模式，换密码时只改末尾数字，既难记又不安全。近年来的权威指南已经改变了建议。本文把这些建议翻译成普通人能照做的几个步骤。
一、权威指南现在怎么说
美国国家标准与技术研究院（NIST）的《数字身份指南》SP 800-63B 第 4 版（2025 年 7 月发布）中，对密码的要求有几处很有参考价值：
- 只用密码这一种方式验证时，密码至少 15 个字符；作为多重验证中的一环时，至少 8 个字符。
- 系统应当允许至少 64 个字符，不应强制要求“必须含有大小写、数字、符号”这类组成规则。
- 不应要求用户定期更换密码，除非有证据表明密码已经泄露。
- 应当把新密码与已知泄露或常见密码的列表比对，命中就拒绝。
这是面向系统设计者的标准，但对个人也有启发：长度比花样重要，唯一性比复杂更重要。原文见 NIST SP 800-63B-4，具体要求以官方文档为准。
二、为什么长度更重要
攻击者破解密码，常用的是“撞库”（拿泄露的账号密码到别的网站试）和“字典攻击”（按常见词和常见变形逐个尝试）。P@ssw0rd 这种把字母换成符号的写法，早已在字典里。相反，由几个互不相干的词组成的长短语，例如“窗台 红茶 台灯 雨伞 山路”，既容易记，又很难被字典覆盖。注意这只是示意写法，请不要直接使用示例，自己组合一个。
三、最重要的原则：每个重要账号一个独立密码
一个网站被攻破、密码泄露，如果你在邮箱、网银、网盘都用了同一个密码，损失会连锁扩大。常见的做法是：
- 列出最重要的账号：主邮箱、手机云账号、支付、办公系统。它们是其他账号“找回密码”的入口。
- 给这些账号分别设置独立的长密码。
- 其他不重要的账号可以用密码管理器生成随机密码，不必自己记。
四、用密码管理器解决“记不住”
人脑记不住几十个不同的长密码，这时就需要密码管理器：它帮你生成并保存随机密码，你只需要记住一个主密码。选择时关注几点：
- 是否支持你常用的设备和浏览器，能否导出备份。
- 是否对数据加密保存，是否支持两步验证。
- 产品的口碑和是否持续更新。具体功能和价格请以各产品官网为准。
主密码要使用前面说的“长短语”，并且只用于密码管理器。如果在公司使用，应遵守公司的信息安全制度，不要把工作账号随意放进个人工具。
五、打开两步验证
两步验证（多因素认证）指除了密码，还要再提供第二种证明，如手机验证码、验证器应用生成的动态码或硬件密钥。即使密码泄露，对方也很难完成登录。建议优先给主邮箱、云账号、支付和办公系统开启。保存好备用恢复码，放在安全的离线位置，手机丢失时才不会被锁在外面。
六、几个常见误区
- “把密码写在本子上不安全”：放在家里上锁的抽屉，通常比重复使用同一个密码更安全；但不要贴在显示器上。
- “密码里加了生日就是个人化”：生日、手机号、名字很容易被猜到，别用。
- “网站提示强度高就安全”：强度条只做规则检查，不会知道这个密码是否已经泄露。
- “发给自己的聊天记录里存密码”：聊天记录可能被同步、截图、被别人看到，不建议。
七、怀疑密码泄露了怎么办
- 立即在安全的设备上修改该账号的密码，并退出所有已登录设备。
- 凡是用过同一个密码的账号，全部修改成不同的新密码。
- 检查账号的登录记录、绑定的手机和邮箱、转发规则，有没有陌生项目。
- 开启或重新配置两步验证。
- 涉及公司账号，第一时间通知 IT 部门，不要自己默默处理。
八、网站是怎么保存你的密码的
正规网站不会明文保存密码，而是保存密码的“哈希值”，登录时比对哈希。哈希是单向的，不能直接还原。但简单的哈希（如未加盐的 MD5）仍然容易被查表破解，所以网站还需要用加盐、慢速的专用算法。原理见 《MD5 和哈希是什么》，也可以用本站 哈希计算工具 亲手看一看同一段文字的哈希长什么样。千万不要把真实密码输入任何不可信的网页。
九、五分钟自查清单
- 主邮箱和手机云账号是否都是独立的长密码？
- 它们是否开启了两步验证？恢复码是否保存好？
- 是否还有多个网站共用同一个密码？
- 是否使用了可信的密码管理器？
- 收到“账号异常”的链接，是否先从官网入口自行登录核实，而不是直接点击？