---
title: 密码管理器用了一年，我最后留下了什么
site: 星湖の小窝
category: 安全
tags: [安全, 密码, 工具]
date: 2026-09-08
updated: 2026-09-08
id: note-password-manager
---

# 密码管理器用了一年，我最后留下了什么

一年前我还在用"同一套密码 + 后缀区分网站"的办法。现在回头看，那等于把所有的锁做成同一把钥匙。这篇写我最后留下来的做法。

### 1. 选一个能离线的

密码库本质是一个加密文件。我更在意的是"能不能导出"和"离开这个工具还能不能读"。选的时候问三个问题：能不能导出明文（应急）、有没有本地库、有没有官方浏览器扩展。

### 2. 主密码的强度决定一切

密码库的加密强度再高，也挡不住主密码本身被猜到。主密码建议是**四到五个不相关的词**拼起来，而不是把一句常用密码改几个符号。

> 主密码只存在你脑子里，不要写进备忘录、不要放进同一个密码库的备注里。

### 3. 密码分级，而不是每个都换

- **邮箱、网银、支付**：独立强密码 + 双重验证，绝不与其他站点共用
- **常用网站**：随机生成 16 位以上，交给浏览器扩展自动填充
- **一次性注册的小站**：随机生成，事后忘了也无所谓

### 4. 自动填充而不是复制粘贴

填充不会经过剪贴板，也就不会被剪贴板里的其它 App 读到。这也是我后来很少复制密码的原因。

### 5. 每季度做一次体检

- 看看有没有"重复使用的密码"（大部分管理器自带这个报告）
- 看看有没有"弱密码"和"很久没换"的
- 顺手清掉已经注销的站点条目

### 6. 恢复方案要提前想好

手机丢了、电脑坏了、忘记主密码 —— 这三件事早晚会遇到一件。我的做法：把恢复码（含二次验证的恢复码）打印一份放家里，并且指定一位家人知道"在什么情况下该打开哪个信封"。