这套规矩的源头能追到美国国家标准与技术研究院（NIST，美国负责制定技术标准的机构）2000 年代初起草的一份指南。当年参与的经理 Bill Burr 多年后公开承认：自己做的很多事现在都后悔。

一、八页附录如何定下全网密码规则

Burr 在 2003 年参与起草，NIST 于 2004 年 6 月发布 SP 800-63。完整文件是更宽泛的联邦身份认证标准，署名还有 Donna Dodson 和 W. Timothy Polk，Burr 的名字主要和附录 A 绑在一起。那约八页的部分要回答：用户自己想的密码有多难猜。

麻烦在于 NIST 当时缺少真实证据说明人在不同规则下的行为，附录自己也承认了这点。它的估算借用香农关于英文文本可预测性的研究，拼出一套密码熵（不可预测程度）模型，还给字符组合规则额外加熵值——机构因此有了数学理由相信混用字符类型能换来安全。这份写给联邦系统的指南很快被各行各业照搬。

二、规则反倒让人变得好猜

附录当年就预见到了：被要求加大写和符号的人会用最好猜的方式应付——大写放开头，标点丢末尾，把 s 换成美元符号。它还提醒过，太随机的密码难记，人会写在手边纸上。

警告摆在那里，加分照给。结果 password 变成 Password1!，攻击者把这几套招式直接写进猜测工具。定期改密码又添一层麻烦：2004 年附录并未规定 90 天必须换，但讨论了密码有效期算例，Burr 后来的建议也和定期更换绑在一起。后续研究发现人改密码的方式高度可预测，等于替攻击者搭好结构。

三、现在该照哪一套做

2017 年 8 月，已退休的 Burr 对《华尔街日报》承认「我做的很多事现在都后悔」。同年 NIST 改写出 SP 800-63B，方向转变：取消强制混用大小写、数字和符号；取消例行到期换密码，除非有证据表明已泄露；重点转向拒收 123456、password123 这类常见密码，并把新密码与泄露名单比对。2025 年的 SP 800-63B-4 延续这套思路——密码作为唯一验证方式时最短 15 位，服务方应支持至少 64 位。

个人可照做四步：

1. 把关键账号换成足够长的口令，用几个随机词拼成一句记得住的话，长度比凑字符类型管用得多
2. 不必再按固定周期换密码，有泄露迹象立刻换
3. 用 Have I Been Pwned 这类服务或平台自带的密码检查工具，查密码是否已出现在泄露数据中
4. 其余账号交给密码管理器生成随机密码

注意事项

旧规则惯性很大。2023 年一项覆盖两万多个网站的研究发现，仍有 15% 在强制执行现代指南不再推荐的字符组合规则。碰上这种页面只能先满足格式，再靠长度和唯一性补。大写和符号确实扩大密码空间，问题不在元素本身，而在把它们硬化成死规定。

来源：MakeUseOf

一、综合最佳：1Password

界面友好、上手简单，只需记住一个主密码即可调出所有账号与信用卡信息；支持 Windows、macOS、iOS、Android 及 Chrome、Edge、Brave、Firefox 浏览器插件；自带 Watchtower 泄露监控与 passkey 存储。它还提供安全数字保险库，可存放证件、笔记等敏感文件，也能把信息安全地分享给信任的家人朋友。个人版约 2.99 美元/月（按年付费），家庭版约 4.49 美元/月（最多 5 人），无免费版但提供 14 天试用。

二、免费首选：Bitwarden

开源、透明，免费版支持无限设备与无限密码；高级版仅 1.65 美元/月（约 19.8 美元/年），家庭版 3.99 美元/月（最多 6 人）。免费版已包含 passkey 管理与紧急访问等人气功能，付费主要解锁更高级的安全选项，适合想先零成本试用的用户。

三、其余几款按场景选

1. Keeper：面向小团队与企业，安全合规功能齐全。
2. NordPass：更偏向企业部署场景。
3. Dashlane：家庭套餐的替代之选。
4. Proton Pass：免费或低价之选，由注重隐私的 Proton 推出。
5. Enpass：本地优先、灵活性高，适合不想把数据全交云端的人。

值得留意的是，虽然 passkey 等无密码方案正在普及，传统密码管理器因兼容性强、上手门槛低，短期内仍是多数人的务实之选。

注意事项：挑选时优先看是否支持两步验证（2FA）与 passkey；主密码务必唯一且牢记，它是保险库唯一的钥匙。文中价格以各家官网为准，可能随活动变动。

来源：ZDNet

科技媒体 WIRED 在 2026 年 8 月更新了其密码管理器选购指南，基于新一轮实测重新梳理了推荐名单。结论并不复杂：真正适合大多数人的那一款，恰恰是完全免费且开源的产品。

综合首选：Bitwarden

在这份榜单中拿到”最适合大多数人”评价的是 Bitwarden。它的免费版没有条目数量或设备数量限制，客户端完成度高，操作逻辑清晰。更关键的是它开源——驱动 Bitwarden 的代码任何人都能查看、寻找漏洞并提交修复，同时它还接受第三方安全审计。理论上看代码的人越多，安全性越接近无懈可击。对不放心云端的用户，Bitwarden 还允许部署在自己的服务器上，自行托管密码库。

平台覆盖方面，Bitwarden 提供 Windows、macOS、iOS、Linux、Android 客户端，以及全部主流浏览器扩展，桌面端支持 Windows Hello 与 Touch ID 生物识别解锁。它同样支持无密码登录，可以用一次性验证码、生物识别或安全密钥进入密码库，对通行密钥（passkey）的支持也很完整，甚至可以直接用通行密钥打开密码库本身。附加功能包括加密文件分享工具 Bitwarden Send、内置双因素验证器（仅付费版）以及活跃的社区支持。

付费门槛在同类产品中最低：Bitwarden Premium 每年 10 美元，可获得 1GB 加密文件存储、支持 YubiKey/FIDO U2F/Duo 等设备的双因素验证、密码健康度报告以及优先客服。

免费版最强：Proton Pass

几乎所有密码管理器都提供免费版，但 Proton Pass 的免费额度明显更慷慨：无限条目、无限设备、浏览器与移动桌面客户端、密码生成器、通行密钥支持、密码强度检测，还附带 10 个邮箱别名用于隐藏真实邮箱地址。这套配置足以对标 1Password、Dashlane 的付费方案，短板主要在于缺少家庭共享。

Proton Pass 能迅速跻身第一梯队，也得益于母公司在安全与隐私领域长期积累的口碑。需要留意的是，它的客户端与扩展开源，但服务端组件并未开源，这也是评测者仍将 Bitwarden 排在其之上的原因之一。付费方案 Pass Plus 年费 36 美元，家庭版年费 60 美元。

共享场景：Keeper；进阶之选：1Password

Keeper 在 WIRED 评测中获得 7 分，价格高于前两者，免费版还缺少暗网监控等功能（需付费加购）。但在多人共享登录信息这件事上，它的表现最突出：不是把数据切成一个个独立密码库，而是像 Google Drive 那样用文件夹加权限体系来管理，还支持一次性分享链接和”阅后即焚”记录。企业版最高可达每用户每月 85 美元，小型团队则可从每用户每月 4 美元起步。

1Password 拿到 8 分，胜在附加功能的丰富程度：覆盖 macOS、iOS、Android、Windows、Linux、ChromeOS 的客户端，还有一套可在任意环境运行的命令行工具。评测者最欣赏的是”旅行模式”——跨境前先把敏感数据从设备上清除，入境后一键恢复，避免密码库在边境检查中被完整读取。它采用密码加密钥双重解锁机制，安全性更高，但也意味着解锁凭据之一并非用户自己设定，需要妥善保管。

榜单中另外两个位置分别给了功能最全面的 Dashlane 和适合捆绑购买的 NordPass。

为什么不直接用浏览器自带的？

主流浏览器都内置了基础的密码保存功能，比什么都不做要好，但局限明显。虽然密码在浏览器中经过加密，一旦有人能接触到这台电脑，解密并不困难。因此如果设备可能被他人使用，就不建议依赖浏览器密码管理。

苹果的密码管理方案通过 iCloud 同步，与 Safari 整合良好，也有独立应用，安全性没有问题，但只要用户手上还有非苹果设备，密码就无法同步过去。

通行密钥会取代密码吗

由 FIDO 联盟推动的通行密钥，是当下最主流的”去密码化”方案，苹果创造的 passkeys 这一称呼已被广泛接受。它由设备生成并保管一对加密密钥，通过生物识别或 PIN 码保护，登录时网站发送公钥、设备用私钥比对，整个过程无需记忆任何字符串。

不过评测者认为密码短期内不会消失。目前几乎所有推荐产品都能存储通行密钥，Bitwarden 与 1Password 更是可以生成、保存、同步通行密钥并跨设备使用。合理的思路是：把通行密钥当成钱包里的信用卡，密码则是现金，两者共存的阶段仍会持续一段时间，用密码管理器统一保管才是当下更省心的做法。

挑选时看什么

理想的密码管理器应建立在零知识（zero-knowledge）或零访问架构之上——密码在存储和同步过程中对服务商不可见，服务商没有任何解密手段。1Password 在此基础上还加了设备绑定密钥，每台新设备都需单独注册。

如果完全不想把数据交给远端服务器，自建同样可行：Bitwarden 支持自托管，Enpass 则允许同步到网盘。评测者提醒，在网络安全配置到位的前提下，自托管的安全性最高，但应避免把密码库同步到第三方网盘。

来源：WIRED《8 Best Password Managers (2026), Tested and Reviewed》

MakeUseOf 撰稿人 Afam Onyimadu 分享了自己被安全从业者提醒后的复盘：问题从来不在刷脸登录本身，而在于把唯一的通行密钥拴死在一个平台、一台设备或一个生态里。一旦那个入口出问题，连锁反应会比预想的严重得多。

风险不在 Windows Hello，而在「只有一把」

Windows Hello 创建通行密钥时，会把凭据绑定到设备硬件上，由保护 PIN 码的同一块安全芯片看守，这是相当扎实的安全实现，本身没有可指摘之处。

真正被忽略的是保存位置的选择。系统询问把新通行密钥存到哪里时，看似只是个无关紧要的小选项，实际上是在决定：当其他一切登录方式都失效时，最后能依靠的是哪个账号。

一个账号背后连着多少扇门

打开微软账号设置就能看清全貌：它不只管 Windows 登录，还牵着 Outlook 邮箱、OneDrive、Microsoft 365 订阅、商店购买记录以及跨设备同步的系统设置。

更关键的是，那个 Outlook 邮箱地址往往在很多年前就被填进了银行、电商、社交平台的「找回账号联系方式」栏，之后再没人想起过。也就是说，一旦这个账号本身出现问题，被锁在门外的远不止微软自家服务。

需要区分的是，使用 Microsoft Authenticator 应用时，部分通行密钥可以跨设备同步；而 Windows Hello 生成的通行密钥只留在本机。但无论哪种形式，底层那个账号的分量没有变——它依然是单点故障。换个厂商也解决不了问题，真正需要的是一套不会因为某一环断裂就全线崩溃的方案。

四种方案的取舍

• 只有一把 Windows Hello 通行密钥：日常最方便，但设备丢失或账号找回受阻时都撑不住，只适合无关紧要的低风险账号；
• Windows Hello 加第二把通行密钥：日常同样方便，能扛住丢一台设备，账号找回出问题时也有一定余地，适合大多数人；
• 密码管理器搭配备份通行密钥：方便且能同时扛住设备丢失和账号找回问题，适合跨多设备、多系统使用的人；
• 硬件安全密钥加备份：便利性中等，但两类风险都能覆盖，适合网银、主力邮箱这类丢不起的账号。

补上第二把的具体步骤

很多人并不知道，同一个账号大多允许注册多把通行密钥：Gmail 可以添加多个，微软支持注册多种登录方式，GitHub 允许绑定多把安全密钥，亚马逊也能挂上若干把。只是第一把指纹登录跑通之后，几乎没有人再往下走一步。

1. 注册第二把通行密钥，优先选择第二台设备、密码管理器或硬件安全密钥，避免与第一把落在同一处；
2. 把恢复码存到另一台设备上——存成手机备忘录是没有意义的，手机本身丢了，恢复码也跟着一起丢；
3. 换一台设备实测登录，确认新方案真的能走通，而不是停留在「设置页面显示已添加」；
4. 确认替代方案可用之后，再删除旧的通行密钥，顺序千万不要颠倒。

这套流程只需要做一次，之后就可以放着不管，但账号被彻底锁死的风险已经拆掉了。

注意事项

保留 Windows Hello 并没有错，日常登录快且安全，没必要为了安全刻意给自己找麻烦。要补的是它周围的冗余：至少准备一把不依赖微软账号的通行密钥；用来找回账号的邮箱应当独立加固，不能和待找回的账号绑在同一个体系里；真正输不起的账号，再额外配一把硬件安全密钥。

一个可以立刻执行的自查动作：打开一个丢不起的账号，进入安全设置页面，如果只注册了一把通行密钥、且只绑定在一台设备上，那就是该马上补第二把的信号。

来源：MakeUseOf