密码管理器为什么能让每个网站都用不同密码

记住几十个又长又不同的密码很困难，于是人们容易重复使用同一个密码。真正的风险在于，只要一个网站泄露，攻击者就可能拿着同一组账号和密码去尝试其他服务。密码管理器的作用，是把许多难记的密码集中交给一个加密保险箱。

使用时，用户只需要重点保护主密码。保险箱里的各网站密码经过加密后保存，没有正确的解锁信息，看到存储文件也不应直接读出其中内容。好的主密码应当足够长、独特，而且不能在别处重复使用。

密码管理器可以为每个网站生成随机密码。随机字符串不必适合人脑背诵，却能避免姓名、生日和常见词组带来的可猜测规律。某个网站发生泄露时，受影响的也只是那一个网站的密码，其他账号仍有不同的钥匙。

自动填充还有一个容易被忽略的好处：管理器会根据网站域名匹配登录信息。如果页面地址与记录不符，它通常不会自动提供密码，这能对一部分仿冒登录页形成提醒。不过，用户仍应检查网址，也不能把自动填充当成绝对防护。

主密码一旦遗忘，恢复方式取决于具体产品的设计。因此启用前要了解恢复机制，妥善保存恢复代码，并在可用时开启多因素验证。备份同样重要，尤其是使用只保存在本地的保险箱时。

通行密钥正在让部分服务减少对传统密码的依赖，但网站支持仍不完全一致。密码管理器可以在过渡期同时保管密码和通行密钥。它并没有消灭安全风险，而是把“记住很多弱密码”换成“认真保护一个入口，并让其余密码彼此隔离”。