两步验证怎么选？短信、验证器、通行密钥一次讲清

密码再复杂，也架不住撞库、钓鱼和泄露。给重要账号多加一道验证，是普通人投入最小、效果最大的安全措施。这篇讲清楚几种常见的两步验证方式，哪个安全、哪个方便，以及开启时最容易踩的坑。

两步验证是什么

登录时除了密码，还要再证明一次“是你本人”。常见有四种方式，安全程度从低到高：

为什么短信最弱

短信码有两个问题。一是有人可能冒充你去营业厅补卡或转网，拿到你的号码就能收到验证码。二是钓鱼网站可以实时把你输入的验证码转发给真网站，你以为在登录，其实在帮别人登录。所以短信只能算“有总比没有好”。

验证器 App 怎么开

1. 手机装一个验证器：Google Authenticator、Microsoft Authenticator，或者开源的 Aegis（安卓）、2FAS 都可以。
2. 在网站的“安全设置”里找到“两步验证”或“身份验证器”，页面会显示一个二维码。
3. 用 App 扫码，输入 App 里显示的 6 位数确认。
4. 最重要的一步：把网站给的备用恢复码抄下来或打印出来，放在不在手机里的地方。手机丢了、坏了，全靠它。

换手机前，先在旧手机上用 App 自带的导出或云同步功能迁移，确认新手机上的码能用了再删旧的。

通行密钥：以后的主流

通行密钥（Passkey）把“密码 + 验证码”换成了一对加密密钥：私钥存在你的手机或电脑里，网站只存公钥。登录时你只需要指纹或刷脸，没有任何东西可以被钓鱼网站骗走，因为密钥只对注册它的那个域名生效。

Google、苹果、微软、GitHub 等大平台都已支持。开启方法一般是：账号安全设置 → 通行密钥 → 创建。建议至少在两台设备上各建一个，或者用会同步的密码管理器保存，避免一台设备丢了就进不去。

先给哪些账号开

1. 主邮箱：几乎所有账号都能通过邮箱找回密码，邮箱沦陷等于全部沦陷。
2. 支付和交易账号：银行、支付宝、交易所、券商。
3. Apple ID / Google 账号：管着你的手机、照片和备份。
4. 网站和服务器后台：域名注册商、云服务器、建站面板，被拿下就是整站被黑。
5. 社交账号：被盗后常被拿去骗你的朋友。

三个常见坑

• 没存恢复码：手机一丢，客服申诉可能要等很多天，有的平台根本找不回来。
• 验证器和密码放一起：密码管理器里同时存密码和验证码很方便，但这个管理器本身一定要有强主密码和两步验证。
• 把验证码告诉“客服”：任何正规平台都不会打电话或发消息向你要验证码。谁要，谁就是骗子。

花二十分钟，把上面五类账号的两步验证开好，恢复码存好，你的账号安全就超过了大多数人。

本文由 Lingshi 发布，转载请注明出处。