别笑，真有人还不会，我把密码管理的时间线做成避坑清单，最吃亏的是沉默的人，照着做就行
引子
听过“用123456”的笑话不止一次，但现实里依然有人把密码当作随手写的便利贴。别做那个人。下面这份按时间线整理的密码管理避坑清单，既能立刻解决燃眉之急，也能把长期风险降到最低。照着做一步步来，效率高、不纠结。
先说结论（很实用的最低门槛）
- 选一个靠谱的密码管理器（例如 Bitwarden、1Password、Dashlane）；
- 用独一无二的强密码或长短语作为主密码；
- 开启双因素认证（2FA），优先使用硬件安全密钥或TOTP；
- 立刻停止密码复用；
- 做好恢复和紧急访问计划。
时间线清单（按天/周/月/季/年划分）
立刻要做（第0天）
- 把手头常用网站和重要账户列出来（邮箱、银行、社交、云盘、工作平台等）。
- 下载并安装一个密码管理器；把“自动保存密码”“自动填充”打开（手机与电脑都配置）。
- 为密码管理器设置一个足够长且容易记忆的主密码或短语（15+字符，包含空格更好）。
- 立刻为主邮箱和密码管理器开启双因素认证（优先硬件密钥或 TOTP）。
- 将最敏感的两三个账户（银行、支付、主邮箱）立即换成强密码，不要复用。
一周内要做（第1周）
- 导入/逐个保存常用账号到密码管理器。开始时先做最重要的10个账号。
- 使用密码生成器为每个账号生成独特密码（或用可记忆的长短语法则）。
- 为支持的平台保存恢复代码、备份密钥，放到安全的地方（密码管理器或加密离线备份）。
- 在手机和电脑上启用屏幕锁与加密，防止物理被盗后泄露。
一个月内要做（第1个月）
- 完成所有常用账户的迁移，彻底停止复用密码。
- 分类整理账户：金融类、工作类、购物类、娱乐类、低价值类（可设置弱一点的密码但仍唯一）。
- 配置家庭或团队的共享库（只有必要时共享登录，使用密码管理器的安全共享功能）。
- 设置“紧急联系人/紧急访问”权限，确保发生意外时有可信人可以访问账户。
- 学会识别钓鱼邮件和可疑登录提示，任何密码更改请求都先手动登录官网确认。
三个月起（第3个月）
- 做一次完整的密码强度审计：用密码管理器扫描“弱密码”“重复密码”“历史泄露密码”。
- 为仍支持的账户开硬件安全密钥或强制 TOTP。
- 把重要账号的登录通知和异常登录提示打开（邮件或手机即时提醒）。
- 备份密码库（加密导出），把备份保存在安全地方（离线加密硬盘或安全柜）。
每半年（每6个月）
- 更新高风险或被泄露的密码；对金融与工作相关账号优先。
- 检查并撤销不再使用的第三方授权应用（OAuth 授权）。
- 更换已使用多年未更新的关键密码（例如超过2年以上）。
- 检查设备系统与密码管理器是否有安全更新并及时安装。
每年（年度检查）
- 全库审计一次：清理废弃账号、合并重复条目、修正分类。
- 评估密码管理器和2FA策略，考虑是否需要升级到付费版或增加硬件密钥。
- 更新紧急访问名单与联系信息。
- 对家人或团队做一次简单的安全教育（密码基本常识、钓鱼识别、设备安全）。
常见避坑点（别踩这些）
- 继续复用密码：被攻破一个账号就等于连环炸塌。
- 把密码记录在明文文件或未加密笔记中：电脑被盗或同步云端就完了。
- 只靠短信（SMS）作为2FA：容易被SIM换卡或短信拦截。优先 TOTP 或硬件密钥。
- 把主密码写在便利贴上放电脑旁：看着就心疼。
- 没有恢复计划：忘主密码或设备丢失时，会被自己“锁在门外”。
- 盲目信任分享链接和第三方应用：每次授权前都确认必要性和权限范围。
工具与选择建议（简短）
- 开源轻便：Bitwarden（免费/自托管可选）。
- 商业且体验好：1Password（家庭/团队功能）。
- 硬件安全密钥：YubiKey 等，提升账户防护等级。
- 备用方案：如果不想用密码管理器，可用长短语+记忆法，但这对多账户不现实。
进阶技巧（可选）
- 对极关键账号使用单独设备或隔离的浏览器配置（比如金融类只在特定浏览器登录）。
- 利用密码管理器的“安全注记”存储恢复问题答案（尽量随机化答案而非真实信息）。
- 对敏感通信使用端到端加密工具，防止登陆凭证在传输中被窃取。
- 对公开 Wi‑Fi 谨慎，尽量使用 VPN 或移动网络处理敏感操作。
给“沉默的人”的一句话
别以为不出事就是安全。沉默常常意味着懈怠，懈怠往往在某天变成问题。按这个时间线走一遍，投入的时间不多，但能避免大麻烦。
照着做就行：把“立刻要做”的清单当作今天的任务，把“一个月”“三个月”的作为计划节点，每个季度复盘一次。一步步来，安全会像复利一样慢慢生效。需要我帮你把清单转成可打印的任务卡或日历提醒吗？
