以为你的密码管理器已经保护好你了？再想想吧。

数字世界混乱、嘈杂，偶尔还充满敌意，而随着我的生活越来越多地移到线上，我一直尽量保持一定的安全意识。很长一段时间，这意味着使用密码管理器，然后就结束了。到处使用强大、独特的密码似乎就是终点。问题是威胁已经发生变化，而习惯并未总是跟上。当下，仅仅依靠密码管理器就像锁上前门却留着窗户开着一样。

真正的账户安全如今已经超越了密码。密码密钥、正确配置的双因素认证、恢复计划以及基本的设备卫生同样重要，甚至可能更重要。如果你跳过这些步骤，即使你密码库中的每个密码都很长且随机，你的账户仍然可能遭受接管、网络钓鱼和凭证重用攻击。这才是真正的安全措施，而大多数自认为“安全做得对”的人仍然存在漏洞。

在所有可能的地方启用密码密钥

启用通行密钥是大多数人目前可以进行的最大安全升级之一，同时它也是最容易被忽视的。如果一个网站提供通行密钥，我就会启用它们。通行密钥可以防止一些密码管理器无法解决的常见攻击，例如通过钓鱼页面诱使你交出本来很强的凭证。我一直是 Bitwarden 的粉丝，而且值得称赞的是，它在现代浏览器和平台上能够很好地处理通行密钥。一旦启用，通行密钥不会让人觉得增加了额外的安全步骤，相反，它会让步骤更少，出错的机会也更少。

话虽如此，并不是每个密码管理器都对通行密钥支持得同样好，有些几乎不支持。如果你的管理器无法可靠地存储或使用通行密钥，你仍然有其他选择。许多操作系统和浏览器本身就可以作为通行密钥提供者，这仍然比到处依赖密码要好。重要的是，不要等“完美”的支持才采取行动。如果一个网站提供通行密钥，就使用它们。如果你的密码管理器支持，那很好。如果不支持，让操作系统处理并继续前进。安全性不是关于品牌忠诚或功能清单，而是逐个账户地弥补实际漏洞。

将你的双因素认证升级到短信以外的方式

两步验证是另一个让很多人觉得完成安全防护其实还没做到位的地方。开启基于短信的验证码看起来很负责任，而且肯定比什么都不做要好，但它也是最脆弱的一种两步验证形式，却仍被称为“安全”。短信可能被拦截、重定向或通过SIM卡交换被劫持，而这些都不需要破解你的密码管理器或猜出一个强密码。如果攻击者能说服运营商转移你的号码，这些六位数验证码很快就无法保护你了。

如果一个网站支持基于应用的二步验证或硬件密钥，我就会使用这些方法。身份验证器应用程序将代码绑定到你的设备，而不是你的电话号码，硬件密钥更进一步，需要你实际拥有的物理设备，比如 YubiKey。这类方法更难被钓鱼、截取或者远程绕过。是的，设置需要额外几分钟，但在这种情况下，“正确”的选项实际上可以显著降低风险。短信只是备用选项，不是目标。如果你认真对待账户安全，升级二步验证是最简单有效的提升之一。

在需要之前设置恢复

紧急访问和恢复代码是账户安全中大多数人会跳过的部分，而通常他们后悔跳过这一部分。这是一个错误，因为它们是你已加固的其他部分的安全保障。手机会丢失，硬件密钥会失效，验证器应用会损坏，账户会在最糟糕的时刻被标记。如果你事先没有为此做计划，当你自己被锁定时，再强的密码和双重验证也帮不上大忙。真正的安全计划是为失败做准备，而不仅仅是为顺利的情况做准备。

当我启用双因素认证或密钥时，我将恢复视为同一设置的一部分，而不是可选的后续步骤。在 Bitwarden 中，我会将恢复代码直接存储在保险库中，并与信任的人配置紧急访问权限。这样，如果设备损坏，或者我意外失去访问权限，我就不会慌乱或从头开始。目标不仅仅是防止攻击者入侵，更是确保在出现问题时，我仍然能够重新访问账户。

在出现问题之前锁定你的设备

设备安全基础很容易被忽视，因为它们感觉无聊且显而易见，直到问题真正发生为止。我曾经有一阵子习惯把手机密码取消，因为觉得“麻烦”，而且总想着我在登录上浪费了多少时间。然后我丢了手机，麻烦瞬间变得非常现实，非常紧急。突然，问题不再是便利性，而是任何拿到手机的人能访问什么，还有哪些账号仍然登录着，以及糟糕的情况可能多快变得更严重。那次经历让我很快就不再想走捷径了。

像屏幕锁、操作系统更新和浏览器配置这样的东西看起来并不先进，但它们是基础。一个强大的锁屏可以在设备丢失时为你争取时间。及时的更新会悄悄修补一些现实世界的漏洞，你可能永远不会知道，直到为时已晚。分开的浏览器配置可以防止工作、个人账号和高风险登录之间相互干扰。这些都不炫耀，也无法替代密码管理器或两步验证。但如果你的设备完全开放，其他所有的安全防护都可能迅速失效。先把基础锁好，因为当事情出错时，这是你最不想错过的第一道防线。

当账户被入侵时，首先要做的事情

如果你的账号已经被入侵，最糟糕的做法就是冻结账户或认为损害已经无法挽回。账号接管往往会产生连锁效应。一旦一个登录被入侵，就可能导致邮箱被访问，进而进行密码重置，最终形成多米诺骨牌效应。我亲身经历过，教训很简单：速度比完美更重要。你不需要一个完美的计划，你需要立即开始切断访问权限。

首先，保护好你的电子邮件账户，因为那才是你“王国”的真正钥匙。更改密码，如果可能的话更换一次性密码或双因素认证方法，并退出所有活跃的会话。然后转到你的密码管理器，更改主密码，并在所有地方强制退出保险库。

之后，开始更换任何高价值账户的密码，比如银行账户、云存储、Apple 或 Google 账户，以及任何与工作相关的账户。检查最近的登录活动，撤销未知的会话，并按需重新生成恢复码。这并不轻松，也不迅速，但遏制攻击的关键在于阻止账户被接管。之后你可以进行审计和清理。在最初的关键时刻，目标很简单：控制损害。

真正让你更安全的改变

密码管理器是一个好的起点，但不是安全策略。真正的保护来自于把那些在出现问题时仍能起作用的基础措施堆叠起来。尽可能使用通行密钥，比SMS更安全的双因素验证，经过测试的恢复计划，以及不轻易被入侵的设备。这些都不是关于偏执或追求完美，而是关于在小漏洞变成大问题之前先把它们封堵。获得安全感不是目标，提高防入侵的难度才是。