密码总记不住？先解决这几个常见问题

很多人对密码管理的态度是：知道该管，但一直没管。问起来，理由差不多——记不住、怕麻烦、觉得没人会盯上自己。这些顾虑不是没道理，但大部分可以用具体方法绕过去。下面按常见问题逐个说。

第一个问题：同一个密码到处用。这是最普遍的情况。有人用“名字+生日”注册了十几个网站，图的是好记。问题不在密码本身弱，而在于一旦某个小网站泄露，撞库的人会拿这组账号密码去试邮箱、支付、社交平台。2023年某购物网站泄露的账号数据，在黑产论坛上被用来尝试登录其他平台的比例相当高。解决办法不是让你背十几个复杂密码，而是给账号分个级：邮箱、支付、社交这类核心账号用独立密码，且必须和任何其他网站不重复；论坛、试用类账号可以用另一套。核心账号的数量通常不超过十个，记起来比想象中轻松。

第二个问题：密码记在手机备忘录或微信收藏里。这比重复使用好一点，但风险换了位置。手机丢失、被借用、云同步账号被盗，备忘录里的内容就全暴露了。如果一定要记，至少别写完整密码，比如只写提示“购物站：首字母+特殊符号+年份”，自己看得懂，别人拿到也拼不出来。更稳妥的做法是用密码管理器，它的原理是用一个主密码加密所有条目，即使数据库文件被拿走，没有主密码也解不开。选的时候看两点：是否支持本地加密、是否开源或经过独立审计。

第三个问题：主密码怎么设。密码管理器好用，但主密码一旦忘了，里面的东西基本拿不回来。所以主密码要满足两个条件：足够长、你能记住。一个可行的方法是选一句只有你知道的话，取每个字的首字母，再插入数字和符号。比如“我家楼下有棵歪脖子树2024”变成“wjlxYkwbzs2024!”。长度超过12位，有大小写、数字、符号，又不依赖生日或手机号。把它背下来，不要写在任何电子设备里。如果实在怕忘，可以写在纸上锁进抽屉，这比存在备忘录里安全。

第四个问题：密码要不要定期换。过去很多安全指南建议每90天换一次，现在这个说法已经松动了。频繁更换的代价是用户会改成“密码1”“密码2”这种规律变体，反而更容易被猜到。更合理的做法是：核心账号的密码在没有泄露迹象时不必定期换，但一旦收到“异常登录”提醒，或者该网站被曝出数据泄露，立刻换掉，并且换成一个和之前无关的新密码。换的时候顺手检查一下这个密码有没有在其他地方用过。

第五个问题：双因素认证到底怎么配。密码管理器解决的是“密码本身”的问题，双因素解决的是“密码被知道了怎么办”。常见形式是短信验证码、身份验证器App、硬件密钥。短信验证码最方便，但存在SIM卡被补办的风险；身份验证器App（如TOTP类）不依赖短信，离线也能用，适合大多数人；硬件密钥安全性最高，但需要额外购买，且不是所有网站都支持。建议至少给邮箱和支付类账号开启双因素，优先选身份验证器App。开启后把恢复码打印出来放好，别截图存相册。

最后说一个容易被忽略的细节：旧账号。很多人换过手机号、停用过邮箱，但那些绑定的旧账号还在。这些账号往往密码老旧、无人维护，一旦泄露，可能被用来找回其他账号。花半小时列一下自己注册过的重要服务，把不再使用的账号注销，或者至少改掉密码、解绑旧手机号。这件事做一次，比每天担心密码安全有用得多。