同一个密码用在十个网站上，等于十个网站共用一把钥匙，只要有一家的数据库泄露，你所有的账号就都不安全了。
说一件很多人不知道的事：你在各个网站上的密码，很可能已经在某个数据库泄露事件里被公开过了。这些泄露的账号密码组合会被整理成巨大的字典，在暗网上流传。而攻击者做的事情非常简单——拿你邮箱和泄露的密码，去批量尝试登录其他网站。这种行为有个名字叫「撞库」。
所以我一直觉得，密码管理这件事的优先级被普遍低估了。它不像装杀毒软件那样有存在感，但它防的是最现实的一类攻击。这篇文章讲的就是：为什么必须用不同的密码，以及怎么用密码管理器把这件事变得不麻烦。
🎯 问题的核心不是密码强度，是复用
很多人一听密码安全，第一反应是把密码设得复杂一点：「Abc@123456」这种。但真正致命的问题不是复杂度，是复用。
假设你用同一个密码注册了某个小众论坛，论坛的数据库被拖了库。攻击者拿到你的「邮箱 + 密码」，然后去试你的主邮箱、你的社交账号、你的支付平台。一个不重要的网站被泄露，就能撬开你所有重要的账号。
反过来，如果你的每个网站密码都不一样，那么某一家泄露，损失的只有那一家。这就是密码管理器的核心价值——它让你能对每个网站使用完全独立的高强度随机密码，而不需要你去记。
判断一个密码好不好的标准，不是它有多复杂，而是它有没有在别的地方被用过。随机生成的一串字符看着吓人，但只要它只属于一个网站，它就已经比「你的生日加年份」安全得多。
🗄 三种主流方案：托管、本地、商业
Bitwarden：开源 + 免费同步
Bitwarden 是我最常推荐的方案，理由很简单：开源、免费版就够用、跨平台体验好。免费版支持无限条目、无限设备同步、密码生成、自动填充、以及两步验证码存储。这些功能在别的产品里往往要订阅才能用。
它是端到端加密的，服务端拿到的是加密后的数据，密钥由你的主密码派生。而且因为开源，代码可以被独立审计——这一点对安全类软件特别重要。它还支持自建服务器（Vaultwarden 之类的社区实现），适合对数据位置有要求的人。
缺点：界面比较朴素，某些细节体验不如商业产品打磨得好；免费版的自动填充偶尔会有迟钝的时候。但综合来说，它的性价比是同类第一。
KeePassXC：完全离线，数据在自己手里
KeePassXC 的思路完全不同：它根本不联网。所有密码存在一个加密的本地数据库文件里，这个文件你自己负责同步（网盘、U 盘、Syncthing 都行）。没有云端服务器，也就没有「服务商被黑」这个风险面。
它适合什么人？适合极度在意数据主权、并且有能力自己管理备份的人。开源免费、格式开放、支持密钥文件加密码的双重保护。
缺点也很真实：多设备同步要自己解决，如果数据库文件因为同步冲突损坏了，你得靠备份恢复。而且一旦你忘记主密码，没有任何人能帮你找回——这是本地方案必须接受的代价。
1Password：体验最好的付费选项
如果预算不是问题，1Password 的完成度确实是同类里最高的：自动填充精准、界面顺手、内置了类似「我的密码有没有泄露」的监测、支持分享密码给家人、应急联系人功能也很完善。团队协作方面同样是第一梯队。
它是闭源商业软件，需要订阅。适合愿意为好体验付费、并且希望全家一起用的用户。它的安全模型也是基于密钥派生加端到端加密，官方有详细的白皮书。
| 方案 | 数据位置 | 同步 | 成本 | 适合谁 |
| Bitwarden | 官方云（可自建） | 内置，多端自动 | 免费够用，高级版订阅 | 大多数人，性价比优先 |
| KeePassXC | 完全本地 | 自己解决 | 完全免费 | 极客、重视数据主权 |
| 1Password | 官方云 | 内置，体验最好 | 订阅制 | 追求体验、家庭或团队 |
🔐 主密码：你唯一需要记住的那一个
不管你选哪个方案，主密码都是整个体系里的单点。它有几个必须遵守的原则：
- 它必须是独一无二的。绝对不能用你以前在别的网站用过的密码，因为那些密码可能已经在泄露字典里了。
- 它应该是一个长口令，而不是复杂但短的字符串。安全强度主要来自长度。用几个不相干的词拼起来，比如「正确的马电池订书钉」这类结构，比「P@ssw0rd!」难猜得多，也好记得多。
- 它只存在于你的脑子里，不要写在记事本、便签、聊天记录或者任何云文档里。
- 如果你实在记不住，可以写在一张纸上，放在家里一个不上锁但只有你知道的地方——物理安全在这个场景下反而是合理的备份。
🛡 两步验证：比密码更重要的第二层
密码管理器解决的是「密码不重复」的问题，但它解决不了「密码被钓鱼骗走」的问题。所以两步验证（2FA）是必须的补充。
常见的 2FA 形式有几种：短信验证码、邮箱验证码、TOTP 动态口令（Authenticator 应用里每 30 秒变一次的那种）、以及硬件密钥（如 YubiKey、Passkey）。
- 短信验证码：聊胜于无，但存在被 SIM 卡劫持或运营商漏洞的风险，优先级最低。
- TOTP 动态口令：推荐。可以用 Bitwarden 内置、也可以用独立的验证器应用。相比短信安全得多。
- 硬件密钥 / Passkey：目前最强的形式，能有效抵抗钓鱼网站（因为它绑定域名）。重要账号建议上。
一个关键提醒：不要把 2FA 的验证码和密码存在完全相同的通道里，也不要把恢复码弄丢。很多人把动态口令存在和密码同一个密码管理器里，这虽然方便，但等于把两层保护合并成了一层。对最重要的几个账号（邮箱、支付、主密码管理器本身），建议用独立的验证器。
🚨 应急方案：别等到出事才想
这是最容易被忽略的部分。你必须提前想清楚两个场景：
场景一：你失去了对密码管理器的访问。可能设备坏了、可能忘了主密码。解决办法是提前导出加密备份，保存在一个离线介质上（比如一个加密的 U 盘）。同时确认你选择的方案支持账户恢复流程。1Password 有应急工具包机制，Bitwarden 支持导出，KeePassXC 就是那个数据库文件本身。
场景二：你出了意外。家人需要能访问你的关键账号。这不是危言耸听，是现实问题。做法可以是：把主密码的一部分交给信任的人，或者使用支持「紧急联系人」功能的密码管理器，或者把恢复码放在律师/保险柜这类地方。
这两件事花不了多少时间，但能让整套体系真正可靠。密码管理器的意义是可用且安全，只做到安全而进不去，那不是解决方案。
📌 小结
如果你还没开始，我的建议是按这个顺序做：先装一个密码管理器（Bitwarden 免费版就很好），把最重要的几个账号（邮箱、支付、社交）的密码改成随机生成的；然后给它们开启两步验证；最后导出一次加密备份，离线保存。
剩下的账号可以慢慢迁移，遇到一个改一个，不用一次搞定。这个过程可能会有点烦，但改完之后你会发现，忘记密码这件事从此从你的生活里消失了——因为所有的密码你都不需要记，只需要记一个主密码。
今天先做一件事：打开你的邮箱，把密码换成一个随机字符串，并开启两步验证。你的数字生活里最重要的那把钥匙，值得先保护好。