双重验证（2FA）在口令泄露后提供第二道门。不同因子安全性差异巨大：硬件密钥与 FIDO2 通常强于短信，短信又强于完全没有 2FA。
常见因子比较
- 安全密钥/通行密钥：抗钓鱼能力强，绑定站点域名。
- TOTP 应用：离线生成 6 位码，优于短信。
- 短信：受 SIM 交换威胁，但仍阻挡批量撞库。
恢复与备份
启用 2FA 的同时保存恢复码，存放于离线与加密介质。丢失手机前预先登记备用因子，避免把自己锁在门外。
实施顺序
邮箱、密码管理器、云盘、支付优先。然后扩展到社交与购物。配合 账户清单 与 口令策略。
识别伪装的 2FA 钓鱼：钓鱼指南。
SIM 交换防御
向运营商设置 PIN、限制补卡，并把短信 2FA 仅作过渡。金融账户优先升级到密钥或 push 认批准。
推送疲劳
反复点「批准」会形成条件反射。陌生登录弹窗先取消，再进官方 App 查活动记录。
旅行模式
部分平台提供「丢失设备临时码」或旅行白名单。出国前登记备用因子，避免时区差阻断客服。
备份码打印
纸张要防水防窥存，与主电脑分柜。拍照进未加密云相册等于制造第二泄露点。
共享账户陷阱
流媒体家庭共享不是 2FA 替代；每个登录者仍应独立口令，防止一方设备失守牵连全家。
旧手机退役
卖二手前在每台 App 取消 2FA 设备注册，再在设置里移除 TOTP。否则买家可能接管你还没下线的会话。
应急一次性备用码每次启用一条就划掉，防止截图长期有效。
手表与可穿戴
智能手表显示一次性验证码，腕离身等于第二因子裸露。健身淋浴前摘表或关闭通知预览。
账户恢复诈骗
假客服让你「关闭 2FA 才能解冻」是钓鱼经典套路。官方从未要求先关再开验证。
银行 U 盾与手机盾并存时，搞不清用哪个容易点错拒绝，反而锁户。写在便签上的应是流程图而非密码；弄清何场景用硬件何场景用 App，比多堆因子更有效。
企业微信审批与钉钉推送若绑私人手机，离职注销企微后再解绑个人号，防止离职审批通知继续落到私人终端。
备用手机放干燥密封袋与日常机分格，旅行丢主力机时不至于 2FA 与通讯录同时蒸发。老机器长期不开机，也要每半年充到一半电，防止电池鼓包。
新买手机先迁移 2FA 再抹旧机，顺序反了可能在云端被锁在门外数小时。
短信不到时先看手机信号与漫游状态。
把各平台恢复码汇总进加密笔记并打印密封袋，别散落在聊天置顶里。