账号安全测评：两步验证与登录设备管理

结论：防线重心在验证方式，不在密码长度

测评结论先行：账号被入侵的常见路径里，撞库、钓鱼、验证码截获占了绝大多数，单纯靠猜密码的反而少。所以把密码从10位加长到16位，收益有限；把两步验证从短信升级到验证器应用，收益明显。本站横评3种两步验证方式后排序为：硬件密钥最稳，验证器应用次之，短信验证码垫底但仍胜过不开。另一个被严重低估的动作是登录设备管理：很多人的账号在3台以上的旧设备上保持着登录状态，自己却毫无察觉。

三种验证方式逐项对比

短信验证码的优点是零学习成本，缺点是手机号本身可能被补办、被截获，且收不到短信时毫无办法。验证器应用生成的是本地动态口令，不依赖信号，抗钓鱼能力强1档，缺点是换手机时迁移麻烦，务必提前保存恢复码。硬件密钥防护最强，物理接触才能完成验证，缺点是购置成本与携带成本，只建议给存有最重要内容的账号使用。3种方式的共同前提是：恢复码要离线保存1份，它的重要性等同于备用钥匙，丢了恢复码又丢手机，账号基本告急。

登录设备清单怎么查

进入账号安全设置，找到登录设备或授权设备列表，逐台核对型号与最近登录时间，认不出的先移除再改密码。

核查节奏与异常处置

本站建议的节奏是每3个月核查1次设备清单，每半年复核1次绑定的手机号与邮箱是否仍在自己手里。发现陌生设备的标准处置顺序是4步：先移除该设备，再改密码，接着检查账号内的分享设置与云相册共享状态，最后回看最近的登录记录确认时间段。顺序不能换，先改密码再移除，可能让对方在改密码前就下载完内容。处置完成后，把这次异常的时间点记下来，日后若有内容外泄，这个时间点是判断来源的关键线索。

账号之间还有一条隐形连线：多个平台共用同一密码，一处撞库处处失守。私密内容涉及的相册、云盘、社交3类账号，建议至少做到密码互不相同。综合打分，两步验证开验证器应用得8分，设备清单季度核查得9分，这2项加起来，构成本篇推荐的账号防线基本盘。

延伸测评：邮箱才是账号体系的根

两步验证测到最后，要落到1个根问题上：所有账号的找回路径，最终大多汇到邮箱。邮箱账号如果被攻破，相册、云盘、社交账号的密码可以被逐个重置，两步验证也会随之被改。所以账号防线的真正塔基是邮箱：给邮箱单独设1个不与任何其他服务重复的长口令，开验证器应用方式的两步验证，设备清单每月查1次。本站测评过不少案例，失守点从来不在那个出事的账号本身，而在上游的邮箱或手机号。守根，比守枝叶重要1个量级。

手机号这条线也有1个现实风险：号码被补办或携号转网期间的验证真空。降低风险的做法是把重要账号的验证方式从短信迁移到验证器应用，并给运营商账户设服务密码，补办类业务要求更严的核验。恢复码的保管再强调1次：纸质离线保存，与账号密码分开放置，它丢了的后果不亚于密码泄露。账号安全没有一劳永逸的设置，只有核查节奏：设备清单季度查、邮箱月查、恢复码年查。把这3个节奏写进日历提醒，账号防线才算从测评文章变成真实防护。

再测一项：新设备的第一周

账号安全的薄弱期出现在换新设备后的第1周：旧设备的登录态还没注销，新设备的验证器还没迁移完，恢复码随手拍在相册里。这1周的规范动作是：新设备登录后立刻在旧设备上逐个账号退出，把验证器迁移做完并实测1次登录，最后把恢复码抄到纸上、删掉相册里的照片。3个动作在1天内连做，不要拖。测评中不少账号失守发生在用户以为万事大吉的过渡期，攻击不在平时下手，专挑这种设置半成品的窗口。把换机周当作特殊时期管理，是账号防线从文章变成习惯的最后1步。

换机周按特殊时期对待

窗口期只有1周，规范动作做满，后面1年都省心。