为什么每个账户都需要独立的密码
网站一旦被攻破，被盗的邮箱和密码组合很少只留在最初的攻击者手里。它们会被转手倒卖，再被灌进自动化工具，拿同样的组合去尝试登录邮箱、购物网站、社交网络和游戏平台。这种手法俗称“撞库”，只有在人们重复使用密码时才会奏效，却是普通账户被盗最常见的途径之一。
独立密码能切断这条链条。如果每个账户都有自己的一串随机长密码，某个服务泄露了，影响也只局限在这个服务本身。难点在于，没有人能记住几十串随机字符，而这恰恰是密码管理器的本职工作。
密码管理器能为你做什么
密码管理器把你的登录信息存放在一个加密的密码库里，用一个主密码打开，在受信任的设备上往往还能用指纹或面容解锁。注册新账户或修改密码时，它会为你生成随机长密码；登录时，它会自动帮你填好。
自动填充还是一项低调的防钓鱼功能。管理器会把保存的登录信息与确切的网站地址进行匹配，所以不会在仿冒的域名上填入你的网银密码。如果管理器突然认不出一个你常用的登录页面，先停下来检查网址，再决定要不要手动输入任何内容。
大多数管理器的功能不止于存密码。常见的附加功能包括：用来保存备用码和恢复信息的安全笔记、通行密钥存储、在已保存的密码出现在已知泄露事件中时发出提醒、对弱密码或重复密码的警告，以及与家人或团队安全地共享登录信息。
挑选时要看哪些方面
加密排在第一位。要找支持端到端加密的产品，有时也称为“零知识”架构，意思是你的密码库在你自己的设备上就已完成加密，服务商无法读取。公开的安全文档和独立的第三方审计，都说明这家公司对安全是认真的。
其次，要确认管理器在你用到的所有地方都能用：你常用的浏览器、手机和电脑，并且能在它们之间可靠同步。密码库本身也应支持双重验证，最好是验证器应用或安全密钥，这样即使主密码被盗，单凭它也打不开密码库。
最后，加入之前先想好将来怎么离开。好的管理器允许你以标准格式导出数据，让你永远不会被绑死在一家。还要了解忘记主密码会发生什么：有些服务提供恢复工具包或紧急联系人，而严格的零知识设计可能根本无法恢复，因此一份妥善保管的应急信息表就必不可少。
系统自带还是独立产品
如今的浏览器和操作系统都内置了相当好用的密码管理器。Google 密码管理器集成在 Chrome 和 Android 中，Apple 设备自带通过 iCloud 钥匙串同步的密码管理器，Microsoft Edge 则会把密码保存到你的 Microsoft 账户里。它们无需额外付费，本来就装在你的设备上，并且在各自的生态内自动同步。
它们的局限恰恰也在于这个生态。如果你用 iPhone 搭配 Windows 电脑，或者上班用 Edge、回家用 Chrome，自带的管理器未必能处处顺手地跟着你。独立的密码管理器，包括 Proton 等注重隐私的服务商推出的产品，可以跨平台、跨浏览器使用，通常还提供更丰富的共享功能、安全笔记和更灵活的分类整理方式。
无论选哪一种，都远比重复使用密码强。选一个你每天真的会用的，并且避免把登录信息分散在好几个管理器里，否则很容易搞不清哪一份才是最新的。
安全地设置密码库
主密码是你唯一必须记住的密码，所以要让它长而好记，而不是短而复杂。由几个毫不相关的词组成的密码短语，比一小串符号更容易输入，也更难被猜到；中文用户也可以把几个互不相干的词语的拼音串起来使用。这个主密码绝不要在其他任何地方使用。
立即为管理器开启双重验证，并把它的备用码或应急工具包离线保存，比如写在纸上，放在家中稳妥的地方。如果管理器提供恢复方式，现在就设置好，别等被锁在门外才想起来。
接着调整几项设置：一段时间不操作就自动锁定密码库，重启后要求输入主密码或验证生物特征，并及时更新应用和浏览器扩展，以便获得安全修复。
把现有密码迁移进来
大多数管理器都能导入浏览器里保存的密码，或者从其他管理器导出的文件，通常是 CSV 格式。这个文件是未加密的纯文本，所以导出后要立即导入，然后马上删除，包括下载文件夹里的那份和回收站里的那份。
导入完成后，如果你换用的是独立管理器，就关闭浏览器自带的密码保存功能，免得新的登录信息存到两个地方。接着打开管理器的安全报告，开始修复重复和强度不足的密码。先从邮箱账户入手，因为它们能重置其他所有账户，然后再处理金融、工作和社交类账户。
你不必在一个晚上就改完所有密码。其余的密码，下次登录对应网站时顺手更新即可，几周之后，你的密码库里大部分就都是独立的随机生成密码了。
保存你收到的账户信息
通过邮件、共享文档或订单页面收到的登录信息，应该存进管理器，而不是留在截图或普通笔记里。新建一个条目，填入网站地址、用户名和密码，再把恢复邮箱、备用码和其他设置信息写进条目的备注栏。
如果你在 rStock 上购买了账户，交付内容会以与订单关联的交付记录形式显示在你的订单页面上。把它复制到管理器中，然后把密码改成新生成的密码，设置你自己的恢复方式，并开启双重验证。尽早完成这些操作，也能让你趁着交付后可以发起争议的有限时间还没过去，确认一切正常。使用这类账户时，请始终遵守该品牌的使用条款。
账户加固完成后，把你粘贴在笔记、聊天记录（比如发给自己的微信消息）或文本文件里的多余副本统统删掉。管理器应当是当前密码唯一的存放之处，这样你自己更新起来方便，别人想找也难。