一年前我还在用"同一套密码 + 后缀区分网站"的办法。现在回头看，那等于把所有的锁做成同一把钥匙。这篇写我最后留下来的做法。
1. 选一个能离线的
密码库本质是一个加密文件。我更在意的是"能不能导出"和"离开这个工具还能不能读"。选的时候问三个问题：能不能导出明文（应急）、有没有本地库、有没有官方浏览器扩展。
2. 主密码的强度决定一切
密码库的加密强度再高，也挡不住主密码本身被猜到。主密码建议是四到五个不相关的词拼起来，而不是把一句常用密码改几个符号。
主密码只存在你脑子里，不要写进备忘录、不要放进同一个密码库的备注里。
3. 密码分级，而不是每个都换
- 邮箱、网银、支付：独立强密码 + 双重验证，绝不与其他站点共用
- 常用网站：随机生成 16 位以上，交给浏览器扩展自动填充
- 一次性注册的小站：随机生成，事后忘了也无所谓
4. 自动填充而不是复制粘贴
填充不会经过剪贴板，也就不会被剪贴板里的其它 App 读到。这也是我后来很少复制密码的原因。
5. 每季度做一次体检
- 看看有没有"重复使用的密码"（大部分管理器自带这个报告）
- 看看有没有"弱密码"和"很久没换"的
- 顺手清掉已经注销的站点条目
6. 恢复方案要提前想好
手机丢了、电脑坏了、忘记主密码 —— 这三件事早晚会遇到一件。我的做法：把恢复码（含二次验证的恢复码）打印一份放家里，并且指定一位家人知道"在什么情况下该打开哪个信封"。
