这套规矩的源头能追到美国国家标准与技术研究院（NIST，美国负责制定技术标准的机构）2000 年代初起草的一份指南。当年参与的经理 Bill Burr 多年后公开承认：自己做的很多事现在都后悔。

一、八页附录如何定下全网密码规则

Burr 在 2003 年参与起草，NIST 于 2004 年 6 月发布 SP 800-63。完整文件是更宽泛的联邦身份认证标准，署名还有 Donna Dodson 和 W. Timothy Polk，Burr 的名字主要和附录 A 绑在一起。那约八页的部分要回答：用户自己想的密码有多难猜。

麻烦在于 NIST 当时缺少真实证据说明人在不同规则下的行为，附录自己也承认了这点。它的估算借用香农关于英文文本可预测性的研究，拼出一套密码熵（不可预测程度）模型，还给字符组合规则额外加熵值——机构因此有了数学理由相信混用字符类型能换来安全。这份写给联邦系统的指南很快被各行各业照搬。

二、规则反倒让人变得好猜

附录当年就预见到了：被要求加大写和符号的人会用最好猜的方式应付——大写放开头，标点丢末尾，把 s 换成美元符号。它还提醒过，太随机的密码难记，人会写在手边纸上。

警告摆在那里，加分照给。结果 password 变成 Password1!，攻击者把这几套招式直接写进猜测工具。定期改密码又添一层麻烦：2004 年附录并未规定 90 天必须换，但讨论了密码有效期算例，Burr 后来的建议也和定期更换绑在一起。后续研究发现人改密码的方式高度可预测，等于替攻击者搭好结构。

三、现在该照哪一套做

2017 年 8 月，已退休的 Burr 对《华尔街日报》承认「我做的很多事现在都后悔」。同年 NIST 改写出 SP 800-63B，方向转变：取消强制混用大小写、数字和符号；取消例行到期换密码，除非有证据表明已泄露；重点转向拒收 123456、password123 这类常见密码，并把新密码与泄露名单比对。2025 年的 SP 800-63B-4 延续这套思路——密码作为唯一验证方式时最短 15 位，服务方应支持至少 64 位。

个人可照做四步：

1. 把关键账号换成足够长的口令，用几个随机词拼成一句记得住的话，长度比凑字符类型管用得多
2. 不必再按固定周期换密码，有泄露迹象立刻换
3. 用 Have I Been Pwned 这类服务或平台自带的密码检查工具，查密码是否已出现在泄露数据中
4. 其余账号交给密码管理器生成随机密码

注意事项

旧规则惯性很大。2023 年一项覆盖两万多个网站的研究发现，仍有 15% 在强制执行现代指南不再推荐的字符组合规则。碰上这种页面只能先满足格式，再靠长度和唯一性补。大写和符号确实扩大密码空间，问题不在元素本身，而在把它们硬化成死规定。

来源：MakeUseOf

一、综合最佳：1Password

界面友好、上手简单，只需记住一个主密码即可调出所有账号与信用卡信息；支持 Windows、macOS、iOS、Android 及 Chrome、Edge、Brave、Firefox 浏览器插件；自带 Watchtower 泄露监控与 passkey 存储。它还提供安全数字保险库，可存放证件、笔记等敏感文件，也能把信息安全地分享给信任的家人朋友。个人版约 2.99 美元/月（按年付费），家庭版约 4.49 美元/月（最多 5 人），无免费版但提供 14 天试用。

二、免费首选：Bitwarden

开源、透明，免费版支持无限设备与无限密码；高级版仅 1.65 美元/月（约 19.8 美元/年），家庭版 3.99 美元/月（最多 6 人）。免费版已包含 passkey 管理与紧急访问等人气功能，付费主要解锁更高级的安全选项，适合想先零成本试用的用户。

三、其余几款按场景选

1. Keeper：面向小团队与企业，安全合规功能齐全。
2. NordPass：更偏向企业部署场景。
3. Dashlane：家庭套餐的替代之选。
4. Proton Pass：免费或低价之选，由注重隐私的 Proton 推出。
5. Enpass：本地优先、灵活性高，适合不想把数据全交云端的人。

值得留意的是，虽然 passkey 等无密码方案正在普及，传统密码管理器因兼容性强、上手门槛低，短期内仍是多数人的务实之选。

注意事项：挑选时优先看是否支持两步验证（2FA）与 passkey；主密码务必唯一且牢记，它是保险库唯一的钥匙。文中价格以各家官网为准，可能随活动变动。

来源：ZDNet