密码别再到处复用：密码管理器从选到用的五个步骤

同一个密码在十几个网站上复用，是最常见、也最危险的习惯。一个网站泄露，你所有账号都跟着暴露；撞库攻击不需要知道你的密码是什么，只需要知道你在别处用过它。解决办法不是把密码背得更熟，而是交给密码管理器：每个网站一个随机强密码，你只需要记住一个主密码。很多人在这一步卡住，不是因为工具难用，而是不知道从哪里开始。下面五个步骤，按顺序走一遍，当天就能换掉复用的密码。

第一步，先选一个密码管理器，不要在选型上耗太久。市面上的主流选择分三类：浏览器自带的密码保存、系统自带的钥匙串、独立的密码管理软件。浏览器自带的最方便，但换浏览器就难带走；系统钥匙串在同一个生态里很好用，跨平台就吃力；独立软件的同步和跨设备能力最完整，适合长期用。选型只看三点：能不能在你用的手机和电脑上都装、数据能不能加密同步、导出功能是否完整。选定一个就不要反复横跳，迁移成本比选错的代价大得多。

第二步，设一个足够强的主密码，并且只让它出现在你的脑子里。主密码是唯一一把钥匙，丢了它就等于丢了整个密码库，所以它必须同时满足两个条件：你自己记得住，别人猜不到。好的主密码不是一串毫无规律的符号，而是一句只有你懂的长句子：比如把一句歌词、一句家里人才懂的玩笑话，加上两个数字和一个符号，长度超过十六个字符。不要用生日、电话、名字拼音这类能从公开信息里拼出来的内容。主密码不要写在纸上贴在显示器边，也不要存在手机备忘录里。

第三步，把现有的账号分批导进去，先从最重要的开始。不要想着一天之内把所有账号都搬完，那样很容易半途而废。顺序应该是：邮箱、支付和银行、社交账号、工作系统，最后才是论坛和不重要的注册账号。邮箱排第一，是因为几乎所有账号的找回都经过邮箱，邮箱丢了等于所有账号都丢了。导入的方法有两种：让密码管理器自动抓取浏览器里保存的密码，或者手动一个一个改。浏览器里存了多少密码，第一次打开时就能看到清单，照着清单改，改一个删一个，进度看得见。

第四步，给每个重要账号生成全新的随机密码。密码管理器自带密码生成器，长度设到十六位以上，大小写字母、数字和符号全开，生成的密码不需要你记住，复制粘贴进网站的修改密码页面就行。改完一个，密码管理器会提示保存，点保存，旧密码就被替换掉了。这里有个容易踩的坑：有些网站改密码后要求重新登录所有设备，改之前先确认你手头有验证手段，比如手机还能收到验证码。改密码的顺序同样是先邮箱、再支付、再社交，一天改十个左右，一周就能换完。

第五步，打开双重验证，给密码管理器再加一道锁。密码管理器本身也可能成为攻击目标，所以要给它开双重验证：登录时除了主密码，还要再过一道手机验证。能用验证器应用的就用验证器应用，比短信验证码更稳妥。同时把密码管理器的自动锁定时间设短一点，比如五分钟不用就自动锁定，电脑离开座位也不用担心被人翻到。最后，把恢复用的密钥或者恢复码打印出来，放在家里一个固定的地方，这是主密码一旦遗忘时唯一的救命绳。

用上密码管理器之后，日常使用反而比以前更省事。登录网站不用再想密码是什么，浏览器插件会自动填；注册新账号点一下就生成强密码，不用再绞尽脑汁编一个既符合要求又记得住的密码；换手机也不用一个个重新登录，装好软件、输一次主密码，所有账号都在。最难的其实只是开始那一下：选定工具、设好主密码、从邮箱开始改起。复用的密码就像一把万能钥匙丢在外面，换掉它不需要什么技术，只需要一个下午的耐心。