双重验证到底起什么作用
只靠一个密码，账户就只有一道防线。密码一旦被猜中、在某个后来遭到泄露的网站上重复使用过，或者被输进了以假乱真的钓鱼登录页，任何拿到它的人都能以你的身份登录。双重验证（常简称 2FA，也叫两步验证）在密码之外再加一道关卡，而这道关卡与“你知道什么”无关：它可以是你拥有的东西，比如手机或实体密钥，也可以是你本身的特征，比如指纹。
这样一来，光有被盗的密码就不够用了。攻击者即使拿到了你的密码，仍然需要验证器应用里的动态码、在安全密钥上轻触一下，或者在你信任的设备上点一下确认。针对普通账户的攻击大多是自动化、广撒网式的，多出这一步，就能让你脱离“软柿子”的行列，账户被盗的可能性也会大大降低。
不过，2FA 并不能取代一个好密码。它最好叠加在一个独一无二、足够长、保存在密码管理器里的密码之上。两者正好互补：独立密码能把其他网站泄露带来的损失控制在最小范围，而第二重验证则在密码不幸外泄时继续守住你的账户。
常见的第二重验证方式
验证器应用会生成不断刷新的短验证码，通常是六位数字，一般每 30 秒更新一次。它依靠的是一个共享密钥：你扫描服务方给出的二维码时，这个密钥就被存进了应用。验证器应用可以离线使用，大多免费，而且绝大多数主流平台都支持，因此对多数人来说是一个稳妥的默认选择。
硬件安全密钥是一种小巧的 USB、NFC 或蓝牙设备，登录时插入或轻触即可。通行密钥（Passkey）的原理与之类似，只不过它保存在你的手机或电脑里，通过指纹、面容或设备 PIN 码解锁。两者都与真实的网站地址绑定，不会对仿冒的钓鱼页面作出响应，因此是普通用户能用到的最强方案。
推送确认会在一台已经登录的设备上弹出提示，请你批准这次登录。短信和语音验证码则把一次性验证码发送到你的手机号。备用码是一组只能使用一次的应急代码，供常用方式不可用时救急。大多数服务允许同时启用多种方式，你也应该这么做：一种主要方式，外加至少一种备用方式。
为什么短信验证码是最弱的一环
有短信验证码总比没有第二重验证强得多，但它依赖你的手机号，而手机号并不完全由你掌控。在所谓的“SIM 卡劫持”（也叫换卡攻击）中，犯罪分子通过欺骗或收买运营商内部人员，把你的号码转移到他们手里的 SIM 卡上。从那一刻起，所有发给你的验证码都会落到对方的手机上。
短信验证码也会像密码一样被钓鱼：假冒的登录页面要求你输入验证码，攻击者几秒钟内就把它转交给真实网站。此外还有一些更平常的失联情形，比如出国时没开国际漫游、携号转网，或者预付费号码停机后被运营商回收，又分配给了别人。
如果某项服务提供验证器应用、安全密钥或通行密钥，就改用其中一种，把短信只留作备用；服务允许的话，甚至可以彻底关闭短信验证。如果短信是唯一选项，那就先把号码本身保护好：不少运营商支持设置账户密码或开启号码转移锁定，让别人更难在未经授权的情况下转走你的号码。
如何正确设置 2FA
先从那些能“打开其他一切”的账户入手。排在第一位的是你的主邮箱，因为密码重置链接都会发到那里；接下来是你的 Apple、Google 或 Microsoft 账户、密码管理器，以及所有存有资金或重要数据的账户。这些都保护好之后，再依次处理社交网络、Telegram 和 Discord 等即时通讯工具，以及其余账户。
这个选项通常位于账户的安全设置中，名称可能是“两步验证”“双重身份验证”或“登录验证”。选择验证器应用或安全密钥，用应用扫描二维码，再输入应用上显示的验证码，确认一切正常。如果服务支持通行密钥，在手机和电脑上各添加一个，就能获得一种既方便又能抵御钓鱼的登录方式。
关闭设置页面之前，先保存好备用码，尽量再添加一种备用方式，并确认辅助邮箱和手机号都是最新的、确实归你本人所有。然后退出登录、再重新登录一次，这样在真正需要依赖它之前，你就已经知道验证提示长什么样了。
备用码：大多数人会跳过的一步
手机丢失、损坏或被重置时，备用码就是你重新进入账户的钥匙。每个备用码只能用一次，而且在很多服务中，生成新的一组会让旧的一组全部作废。不妨把它当作一把备用的家门钥匙：需要时不可或缺，找不到时毫无用处，落到陌生人手里则后患无穷。
比较妥当的保存方式包括：打印一份，和户口本、房产证等重要证件放在一起；或者存进密码管理器里的加密笔记，并确保不用那台装着验证器的手机也能打开。不妥当的地方则有：邮箱收件箱、没有加锁的备忘录、相册里的截图，或者生成验证码的同一台设备上的文件。一旦这台设备丢了，你就会被彻底锁在门外。
每用掉一个备用码就把它划掉，快用完时及时生成新的一组。如果怀疑有人看到过你的备用码，请立即重新生成，让旧的那组失效。
刚到手的账户如何加固
如果账户是从别人那里得来的，无论是同事移交的项目账户，还是在数字商品交易平台上购买的账户，都应默认前任持有人可能仍有访问权限。你的目标是让自己成为唯一能登录的人。使用这类账户时，请务必遵守该品牌的使用条款。
建议按以下顺序操作：把密码改成一个全新的独立密码；把辅助邮箱和手机号换成你自己掌控的；删除所有不是你添加的验证器、安全密钥和受信任设备；然后用你自己的验证器应用开启 2FA，并生成新的备用码。最后检查当前的登录会话，把除你自己设备以外的所有设备都退出登录。
在 rStock 上，交付内容会以与订单关联的交付记录形式显示在你的订单页面上，你可以直接从那里把信息复制到密码管理器中。你的付款会先被暂时保留，不会立即结算给店铺；如果交付的账户与描述不符、无法正常使用，你可以在交付后的有限时间内发起争议。店铺会先作出回应，如果双方无法达成一致，可以请平台审核员介入。尽早加固并检查账户，有助于你在这段时间内及时发现问题。
需要避开的常见错误
批准一个不是你自己发起的推送请求，是 2FA 失守最常见的原因之一。如果你并没有在登录，却收到了登录确认请求，请直接拒绝并立即修改密码，因为已经有人掌握了你的密码。同理，如果有人打电话或发消息让你报出验证码，也要一口回绝：正规服务从不需要你把一次性验证码告诉任何人。
另一个常见错误是：账户开了 2FA，却留着一条陈旧、薄弱的恢复途径，比如早已弃用的邮箱或不再使用的手机号。只要还有一扇更弱的门没锁，攻击者就会绕开最坚固的那扇，所以每次换手机或换邮箱服务商时，都要重新检查一遍恢复选项。
最后，别等新手机到手了才开始考虑迁移。更换或重置设备之前，先把验证器里的账户迁移过去，在新设备上确认可以正常使用，然后再清空旧设备。花几分钟做好准备，可能帮你省下好几个小时的账户找回工作。