密码用了几十年，依然是线上安全的一大短板。现在的问题往往不是你设了”123456″，而是即使设了很强的密码，也可能因为几个不起眼的习惯，让好几个账号一起处在风险里。下面这 6 个错误最常见，对照看看你中了几条。
1. 所有账号共用一个密码
密码太多记不住，干脆用一个很强的密码走天下，听起来合理。问题在于：只要这个密码被泄露一次，攻击者就会拿着你的邮箱加密码，到其他网站一个个试。数据泄露比你想象的常见，也可能是你不小心在不该输入的地方输入了。密码再强，一旦被人知道就没用了；而重复使用，会让一家公司的安全事故变成你所有账号的麻烦。
最好的办法是用密码管理器。iPhone 自带的”密码”App 就相当好用，也有很多第三方可选。实在不想用，至少给最重要的账号设独立密码：个人邮箱、银行账号、云存储。
2. 密码太短
像”Blue21!”这样的密码，包含多种字符，看着不错，但依然很短，攻击者需要尝试的组合数量有限。现在的密码指南更看重长度：美国 NIST 的要求是，当密码是唯一的认证因素时，至少 15 个字符。
不需要弄出一串难打的字符，用几个互不相关的词组成的”口令短语”，长度够、也好记。另外别用名言、歌词、诗句这类别人也容易想到的内容。
3. 无视”密码已泄露”警告
账号看起来一切正常，不代表密码没被泄露。泄露的凭据可能流传很久才被拿来对付你，攻击者还会把大批凭据自动拿去各个服务上试。
iPhone 在你使用某个密码时，会提示它已泄露；在”密码”App 的”安全性”里，也能看到泄露密码的清单。别拖，抽时间把它们改掉。
4. 只靠密码，不开多因素认证
密码再复杂也可能被偷。多因素认证（MFA）要求在密码之外再验证一次，来源可以是验证器 App、短信或硬件安全密钥，攻击者多一道坎。
短信和邮箱验证最普及，但有短板：黑客可能已经进了你的邮箱，SIM 卡劫持骗局也仍然存在。想要更稳妥，建议用 Google Authenticator 这类验证器 App。不过任何形式的 MFA 都比没有强。顺序上先保护邮箱和金融账号，再到云存储和社交媒体，最后是其他平台。
5. 把密码存在备忘录或截图里
在备忘录里记密码很方便，但文字和图片都很容易被传出去。把手机借给同事打个电话，他可能（有意或无意）看到；手机被偷又被解锁，你的数字生活就全暴露了。这两种情况都完全可以避免。
解决办法还是密码管理器：苹果的”密码”App 内置、各设备同步，也有适用于 Android、Windows 的第三方，选一个口碑好的就比备忘录强。
6. 有通行密钥却不用
通行密钥（Passkeys）是近几年的新认证方式：不用每次输密码，而是由设备为每个网站生成专属的数字密钥，只有你本人用面容 ID、指纹或锁屏密码才能调用。
它还能抵御常见的钓鱼攻击，因为密钥绑定的是真实网站。假网站没办法让你的设备把它当作另一个域名来认证。受信任的服务支持通行密钥时，不妨启用；苹果的”密码”App 可以存储并同步支持的通行密钥。
常见问题
我自己设计一套规律来记密码，可以吗？不建议。自创的”聪明规则”常常带有可被识别的规律，让厉害的攻击者有机可乘。
先改哪个最重要？先改邮箱、银行和云存储的密码，并开启 MFA。
保护账号不需要复杂的系统：避开这 6 个坑，你的账号会比之前安全得多。当然，没有绝对不可攻破的东西，但你让攻击者多费一分力，出事的概率就小一分。