账号安全：三件事做完，风险降一大半

账号被盗的绝大多数情况不是被针对性攻破，而是在某个网站泄露的密码被拿去试其他网站。这叫撞库，防它很容易。

一、不复用密码

这是最重要的一条。一个网站泄露，所有用同一密码的账号一起沦陷。

人脑记不住几十个不同的密码，所以需要工具。Bitwarden 免费版支持无限条目和多设备同步，数据在本地加密后才上传，服务方看不到内容。

主密码要足够强，而且是你唯一需要记住的那一个。 用四五个不相关的词拼起来，比复杂符号更好记也更难破。

二、开两步验证

即使密码泄露，没有第二重验证对方也进不去。

优先用验证器应用而不是短信，短信可能被劫持。Aegis 是安卓上的开源选择，支持加密备份和指纹锁。iOS 上可以用 2FAS 之类的开源应用。

把恢复码保存好，手机丢了要靠它找回账号。

三、查历史泄露

去 Have I Been Pwned 输入邮箱，能看到它出现在哪些已知的数据泄露事件里。查到有记录，就把对应网站的密码改掉，顺便把所有用过同一密码的地方也改了。

进阶：邮箱别名

给每个网站一个不同的邮箱地址，SimpleLogin 可以生成无限个别名转发到真实邮箱。好处有两个：哪个网站泄露了一眼就知道，而且删掉别名就彻底断了。

想要一个和实名身份无关的独立邮箱，Proton Mail 注册不强制手机号。

一个这个群体特别需要注意的

检查已授权的第三方登录。 用微信、QQ 登录过的各种应用会留下授权记录，其中可能包括你不希望和主账号关联的。定期在账号设置里清理一遍。

另外，共用设备是最大的风险点。和家人共用平板或电脑时，浏览器不要保持登录状态，也不要开启账号同步。

更系统的可以看 Privacy Guides 的工具推荐和电子前哨基金会的中文指南。