账户与密码
邮箱是所有账户的总钥匙
Section titled “邮箱是所有账户的总钥匙”必须掌握
你什么时候会遇到这个问题：忘了某个网站的密码，点「忘记密码」，它说「已发送重置邮件」。
最简单可靠的做法：
- 用一个你能长期登录、不会因为换工作就失效的邮箱注册所有私人账户。
- 这个邮箱本身的密码是你最重要的密码，它必须唯一、必须开双重验证（two-factor authentication）。
- 这个邮箱的恢复手机号必须是你现在在用的号码。换号第一件事就是改它。
为什么这样做：几乎所有账户的「忘记密码」都走邮箱。谁控制了你的邮箱，谁就能重置你的一切。反过来，你只要守住邮箱，别的账户丢了都能找回来。
Your email account is the master key. Guard it first.Tu correo es la llave maestra. Protégelo primero.
各家账户分别管什么
Section titled “各家账户分别管什么”知道即可
| 账户 | 管着什么 | 丢了会怎样 |
|---|---|---|
| Apple ID | iPhone、Mac、iCloud 里的照片、备忘录（Notes）、密码、查找 | 设备可能被锁，照片和备忘录拿不回来 |
| 微信 | 聊天、支付、大量小程序和网站的登录 | 联系人和支付一起丢 |
| 常用邮箱 | 上面说的总钥匙 | 所有账户的找回入口没了 |
| 手机号 | 大多数账户的验证码 | 收不到验证码，很多账户登不进 |
| Google / Microsoft | 工作文档、日历（Calendar）、在线协作 | 工作资料 |
上面前四个是「根账户」。它们的密码、恢复方式、双重验证要每年检查一次。见维护清单。
「使用 Apple 登录」「微信登录」是什么意思
Section titled “「使用 Apple 登录」「微信登录」是什么意思”知道即可
网站不另外给你建密码，而是让 Apple 或微信替你证明「这是本人」。好处是少记一个密码。坏处是这个网站的账户绑死在 Apple ID 或微信上，微信没了，这个账户也进不去。
对不重要的网站，用它很方便。对重要的账户，比如网银、工作系统，用邮箱加独立密码注册，不要依附在别的账户上。
「使用 Apple 登录」时有个选项「隐藏邮件地址」，它会生成一个转发地址给网站。这是好功能，但要记得这个账户注册用的不是你的真实邮箱，以后「忘记密码」时别填错。
注册账户前先问三个问题
Section titled “注册账户前先问三个问题”必须掌握
- 我半年后还会用它吗？ 不会的话，能不注册就不注册，能用「游客」就用游客。
- 绑的是哪个邮箱、哪个手机号？ 只用那个总钥匙邮箱和你现在的手机号。别用公司邮箱注册私人账户。
- 它要的权限合理吗？ 一个记账应用要通讯录，一个天气应用要照片，不合理就不给。
容易踩的坑：同一个服务用手机号注册一次、用微信登录一次、用邮箱又注册一次，最后三个账户互不相通。注册前先试「忘记密码」，看看是不是已经有账户了。
密码到底怎么记
Section titled “密码到底怎么记”必须掌握
你什么时候会遇到这个问题：注册了几十个网站，每个都要密码，脑子记不住，写在备忘录里又不放心。
最简单可靠的做法：用密码管理器（password manager），让它替你生成、替你记、替你填。
我自己只用系统自带的「密码」应用（Passwords），够用。它在 iPhone、Mac 上都有，Safari 和大多数应用会自动填充。你只需要记住一个密码：解锁 Mac 或 iPhone 的密码。
具体怎么用：
- 注册新账户时，密码框里会弹出「使用强密码」，点它。系统生成一串你永远记不住的字符，并且存起来。
- 下次登录，密码框自动填好，用面容 ID 或触控 ID 确认。
- 已有的账户，下次登录时系统会问「要存储这个密码吗」，点是。慢慢地所有密码就都进去了。
- 在 Windows 的 Chrome 或 Edge 上，装「iCloud 密码」扩展，也能用。
为什么这样做：人脑记不住几十个不同的密码，所以人会到处用同一个。一个网站泄露，所有账户一起沦陷。密码管理器解决的是这个根本问题，不是「更方便」。
需要和家人共享密码，或者你有大量非苹果设备时，再考虑跨平台的密码管理器。到那一步再选，不用现在纠结。我还没到那一步。
什么样的密码算好
Section titled “什么样的密码算好”必须掌握
- 自动生成的长密码最好。你不需要记它。
- 必须自己记的密码（比如电脑开机密码），用四五个不相关的词拼起来，中间加数字或符号：
西瓜-台灯-1987-火车。长比复杂重要。 - 每个重要账户的密码都不一样。
- 不用姓名、生日、手机号、
123456、password、键盘上连着的字母。 - 一个安全的、没泄露过的密码，不需要定期改。频繁改密码只会让人改成更弱的。
双重验证和恢复代码
Section titled “双重验证和恢复代码”必须掌握
你什么时候会遇到这个问题：登录时除了密码，还要输一个手机上的六位数。
最简单可靠的做法：
- 根账户（Apple ID、邮箱、微信、网银）全部开双重验证。
- 验证方式优先用应用生成的验证码或系统提示，其次才是短信。短信可以被换卡攻击截走。
- 开启时系统会给你一组恢复代码（recovery codes），通常是十几串字符。这是你手机丢了之后的最后一道门。把它们存进密码管理器那条记录的备注里，另外打印一份放在家里的抽屉。
容易踩的坑：恢复代码只显示一次。当时没存，以后就没了。
安全问题（你母亲的姓氏、你的第一所学校）：答案当作密码处理，随机生成，存进密码管理器。真实答案很容易被查到。
知道即可
有些网站在登录时提示「创建通行密钥」（passkey）。通行密钥不是密码，它存在你的设备里，用面容 ID 解锁，无法被钓鱼、无法被猜。支持的网站建议用。它同样存在「密码」应用里，跟着 iCloud 同步。
工作账户和私人账户分开
Section titled “工作账户和私人账户分开”知道即可
工作邮箱、工作网盘只放工作的东西。离职时公司会收回它们，里面的私人照片、私人文件、用它注册的私人账户，一起没了。反过来，公司资料也不放进私人网盘。
做法律工作时这条更硬：客户资料只存在单位的账户里，私人账户里一份都不留。这既是保密义务（duty of confidentiality），也是保护你自己。哪天出了事，你能证明客户资料从来没离开过单位的系统。
不再用的账户怎么办
Section titled “不再用的账户怎么办”以后再学
能注销就注销。注销不了的，把密码改成随机的、解绑手机号、删掉支付方式。每年的维护清单里清一次。
打开「密码」应用，看「安全」那一栏。它会列出重复使用的、太弱的、已泄露的密码。挑三个最重要的账户，把密码改成自动生成的。今天就这三个。