强密码在现代威胁模型里意味着「足够长、每站唯一、可被安全存储」。复杂但复用的八位口令，在泄露库面前几乎没有防御力。
长度优先于花样
NIST 现行指南强调长度与用户友好，而非强制定期无故轮换。16 位以上的随机串或 4–5 个随机词组合，通常优于短小但是却含特殊符号的密码。
密码管理器的职责
生成、填充与加密保管条目；你只需记住一个高强度主密码并开启其 2FA。切勿截图或明文邮件传输库文件。
泄露后的动作
监测到某站泄露时，仅改那一站不够——检查是否别处复用相同口令。枢纽邮箱泄露则触发全面轮换。
可记忆口令 passphrase
随机单词串加数字分隔，兼顾长度与输入速度。避免名言歌词——语料库攻击已收录流行句子。
安全提问陷阱
「母亲 maiden name」在社交网可搜到。对站点安全问题填随机字符串并存密码管理器，别如实作答。
企业 SSO
公司统一身份登录下游应用，个人仍要为 SSO 主账户保持最强因子。一处失守全线沦陷。
键盘布局
跨设备输入生僻符号易错。Passphrase 用常见键位单词可减少移动端挫败感。
硬件令牌备份
物理 U2F 钥匙备两把，分放不同地点；丢一把不致全面锁死。
哈希泄露时间线
站点拖库数年才公开，你以为旧密码仍安全。枢纽账户即便多年未换，也要假设曾出现在未知泄露库。
密码管理器内置泄露监测订阅 Have I Been Pwned 类服务，定期对照轮换。
浏览器内置建议
Chrome 与 Safari 随机密码功能便捷，却绑定生态。评估你是否接受与单一浏览器锁死，再决定是否迁到独立密码管理器。
输入法云同步
手机拼音输入法若云同步个人词库，可能把账号片段传到服务器。敏感账号输入时切换无云临时键盘。
旧式规则强制三月改密，员工倾向在末尾递增数字。政策改革后仍有人保留习惯，这正是攻击者预测的模式。改用管理器随机串，定期只轮换泄露站。
团队共用「项目密码」存于飞书文档，离职成员未移出即全员等同持有根钥。帐号彻底使用邀请制与单独密码条目。
键盘贴备忘便签写着主密码，清洁工比你先看到。便签交给密码管理器，纸张只记无主密码的紧急联系人电话。
主密码忘了等于密码库上锁，务必把恢复流程演练至少一次。
导出密码库前确认无人肩窥。
延伸阅读：常见安全误区。