最该保护的是主邮箱

很多网站忘记密码后都会把重置链接发到邮箱。也就是说，只要主邮箱被拿下，其他账号往往会跟着失守。所以主邮箱、密码管理器和支付相关账号最好使用真正独立的密码，并开启平台提供的双重验证。

ACG 社区、图片站、论坛虽然看起来“没什么值钱的”，也不适合复用主密码。

不用靠脑子记几十套复杂密码

可信密码管理器可以为每个网站生成不同的长密码，减少重复使用；NIST 也推荐优先考虑密码管理器。主密码应当足够长且不在其他地方使用，并给密码库开启可用的多因素验证。需要保存恢复代码时，将它与密码库分开妥善保管，避免账号或设备丢失时同时失去恢复途径。

如果某个旧站发生泄露，只需要改那个站以及任何历史上复用过同一密码的账号，不会牵连所有服务。

发现复用后，先改最重要的账号

如果同一密码用在多个网站，不要只修改报告泄露的那个站点：所有复用该密码的账号都应更换。优先保护主邮箱、密码库和支付相关账户；如果已经出现异常登录，再检查会话、恢复方式和多因素验证设置。

账号安全最怕的不是密码“不够花哨”，而是同一把钥匙开所有门。

改完密码别忘了退出旧会话

有的平台改密码后会自动注销其他设备，有的平台不会。怀疑密码已经泄露时，除了换密码，还应该查看“已登录设备”“会话管理”或类似页面，把不认识的会话退出，并检查恢复邮箱、手机号有没有被改。

密码泄露时先做哪三件事

第一，更换被复用的密码；第二，退出不认识的登录会话并检查找回邮箱；第三，开启多因素验证或平台支持的通行密钥。改密码后留意是否存在未经本人操作的交易或账号绑定变化。