01
密码强度：长度优先于花样
密码强度：长度优先于花样
至少 12 位，混用大小写与数字，避开姓名、生日和连续数字。
设置动作
查看设置顺序
六项设置动作，逐条过一遍
每一项都有明确的完成标准，左右滑动查看，按卡片顺序执行即可。设置项与登录体验直接相关，先做前四项收益最明显。
02
二次确认：异地登录多一道关
二次确认：异地登录多一道关
打开后，陌生地点登录会先要求确认，确认不通过就无法继续。
03
设备授权：清掉不再用的机器
设备授权：清掉不再用的机器
在设备列表里移除旧手机、借出的电脑和长期不用的浏览器。
04
登录提醒：收到通知先看时间
登录提醒：收到通知先看时间
提醒发到常用手机号，判断异常看登录时间与地点，不只看次数。
05
找回方式：两条通道都留在用
找回方式：两条通道都留在用
手机号与邮箱各绑一条，任一路径可用，避免同时失效。
06
会话清理：退出而不是关窗口
会话清理：退出而不是关窗口
在公共设备上先执行退出登录，再关闭浏览器窗口。
执行顺序
从核对账号到复查，六步走完
顺序不要打乱：先确认账号，再改密码，最后绑定找回方式。前五步合计约九分钟，第六步按季度做一次。
-
第 1 步 · 约 1 分钟
核对当前账号标识
先确认页面右上角显示的账号与预期一致。如果在错误的账号上反复改设置，后面的调整都不会作用到常用账号上。
-
第 2 步 · 约 2 分钟
更换高强度密码
换成至少 12 位、与其它站点不重复的密码。改完之后，旧密码立即失效，其它设备上的登录状态也会同步清除。
-
第 3 步 · 约 1 分钟
打开二次确认
开启后，新地点或新设备登录会要求额外确认。这一步是效果最明显的加固动作，建议不要跳过。
-
第 4 步 · 约 2 分钟
清理授权设备列表
逐条查看设备列表，把不认识、已经卖掉或长期不用的设备移除。移除后这些设备下次访问需要重新确认。
-
第 5 步 · 约 1 分钟
绑定找回方式
把手机号与邮箱更新为当前在用的联系方式，两条路径都保持可用，遇到忘记密码时有退路。
-
第 6 步 · 每季度一次
复查与更新
换手机、换浏览器或借出设备之后，回到设备列表再看一遍。定期复查比一次性设置更能防止遗留问题。
四类风险信号，出现一条就要处理
下面这些情况单看都不算严重，但出现频率变高时通常意味着密码已经在别处泄露过。按对应方向处理，不需要额外提交任何资料。
收到并非本人操作的登录提醒
先确认登录时间与地点，如果确实不是自己，立刻改密码并移除对应设备，同时打开二次确认。
密码长期没有更换
超过一年未更换的密码风险偏高，尤其是曾经在别处用过的组合。建议直接换一组新密码，而不是加两个数字草草了事。
同一密码在多个站点重复使用
别的站点泄露会连带影响这里的登录安全。把密码改成只用于本处的独立组合，是最直接的处理办法。
公共设备用过但没退出
只是关闭窗口不等于退出登录。回到设备列表移除这台机器，再在自己的常用设备上改一次密码。
常见问题
设置之后仍会遇到的五件事
下面这些问题多数与设置本身无关，属于正常的校验流程。
设置完这些选项以后，为什么还要再做一次验证？
改完密码或打开二次确认后，当前会话会按新规则重新校验一次，确认是本人操作。验证完成后再进入首页，后续使用不会反复弹出。
换了一台设备，为什么提示需要重新确认？
新设备第一次访问会走一次识别流程，属于设备授权机制的常规表现。确认通过后该设备会进入授权列表，之后正常使用不再重复提示。
登录提醒比实际登录晚了几分钟，这算正常吗？
提醒通过短信或邮件下发，中间会经过运营商与邮件服务，出现几分钟延迟属于常见情况。判断是否异常要看登录时间与地点，而不是通知到达的精确时刻。
在公共电脑上用过之后，应该先做哪一步？
先执行退出登录而不是直接关闭窗口，然后在设备列表里移除这台机器，最后回到自己的常用设备上改一次密码。三步做完再离开。
手机号或邮箱已经换了，旧的找回方式还能用吗？
旧号码停用后无法接收验证码，建议尽早把找回方式更新为当前在用的手机号与邮箱，并保留一条备用路径，避免两条通道同时失效。
设置做完，回到首页继续
入口位置、登录步骤与常见报错的排查办法都已整理成独立页面，遇到卡住的情况可以直接对照查看。
