双因素认证设置指南：保护你的账户
仅靠密码是不够的。即使是强大且唯一的密码也可能通过网络钓鱼、数据泄露或恶意软件被破解。双因素认证（2FA）增加了第二重验证步骤，使账户被接管的难度大幅提升。本指南涵盖了正确设置 2FA 所需的一切。
什么是 2FA？
双因素认证需要两种不同类型的证据来证明你的身份：
- 你知道的东西：密码
- 你拥有的东西：手机、安全密钥或身份验证器应用
- 你本身的特征：指纹、面部识别
标准 2FA 结合了密码（第一因素）和来自手机或安全密钥的验证码（第二因素）。即使攻击者窃取了你的密码，没有第二因素也无法访问你的账户。
2FA 的类型
TOTP（基于时间的一次性密码）— 推荐
身份验证器应用每 30 秒生成一个新的 6 位验证码：
Code: 847 293 (expires in 18 seconds)
工作原理：在设置过程中，服务与你的身份验证器应用共享一个密钥（通常通过二维码）。服务和你的应用都使用这个密钥加上当前时间独立生成相同的验证码。
应用：Google Authenticator、Authy、Microsoft Authenticator、1Password、Bitwarden。
优点：离线可用、不需要手机号码、抗 SIM 卡调换攻击。 缺点：丢失手机意味着失去访问权限（如果没有备份码）。
安全密钥 (WebAuthn/FIDO2) — 最安全
通过 USB、NFC 或蓝牙进行身份验证的物理硬件设备：
品牌：YubiKey、Google Titan、SoloKeys。
优点：防钓鱼（绑定到特定域名）、无需输入验证码、即时工作。 缺点：需要携带物理设备、有成本、丢失后恢复选项有限。
短信验证码 — 尽量避免
包含验证码的短信：
优点：不需要应用、设置简单。 缺点：容易受到 SIM 卡调换攻击（攻击者说服运营商转移你的号码）、短信拦截、需要蜂窝网络服务。
建议：仅在 TOTP 或安全密钥不可用时才使用短信 2FA。它仍然比完全没有 2FA 好得多。
推送通知
服务向你手机上的应用发送提示——点击"批准"即可认证。
优点：方便、显示登录上下文（位置、设备）。 缺点：容易受到"推送疲劳"攻击（攻击者触发多次提示直到用户意外批准）。
设置 TOTP
步骤 1：安装身份验证器应用
选择支持备份/同步的应用：
- Authy：云备份、多设备同步
- 1Password / Bitwarden：与密码管理器集成
- Google Authenticator：简单，现已支持云备份
步骤 2：在账户上启用 2FA
大多数服务：设置 → 安全 → 双因素认证 → 启用。
步骤 3：扫描二维码
服务显示一个二维码。用你的身份验证器应用扫描它。应用开始生成验证码。
步骤 4：输入验证码
输入当前的 6 位验证码以确认设置。
步骤 5：保存备份码
**这是最关键的步骤。**服务提供 8-10 个一次性备份码。如果你丢失了身份验证器设备，这些就是你的恢复方法。
将备份码存储在：
- 你的密码管理器中（已加密）
- 安全位置的打印副本（保险箱、银行保管箱）
- 绝不要存在未加密的文本文件或电子邮件中
优先启用 2FA 的账户
按被入侵后影响程度排序，优先在以下账户上启用 2FA：
- 电子邮件 — 所有其他账户的密码重置都通过电子邮件进行
- 密码管理器 — 包含你所有的凭据
- 金融 — 银行、投资、加密货币账户
- 云存储 — Google Drive、Dropbox、iCloud
- 社交媒体 — 可被用于社会工程攻击
- 开发者账户 — GitHub、npm、AWS、域名注册商
- 购物 — Amazon、支付服务（已存储的信用卡）
恢复策略
如果丢失手机
- 使用已保存的备份码登录
- 将身份验证器转移到新设备（Authy 自动同步）
- 联系客服进行身份验证（最后手段）
备份最佳实践
- 存储 TOTP 密钥：一些应用允许你导出二维码或密钥。安全地保存这些信息。
- 注册多个安全密钥：如果使用硬件密钥，至少注册两个。保留一个作为备份。
- 打印备份码：物理副本不受设备故障影响。
- 测试恢复：定期验证你的备份方法确实有效。
常见错误
- 不保存备份码：2FA 被锁定的最常见原因
- 仅使用短信：容易受到 SIM 卡调换攻击——改用 TOTP
- 身份验证器和密码管理器在同一设备上：如果设备被入侵，两个因素都会暴露
- 不在邮箱上启用 2FA：你的邮箱是所有其他服务的恢复机制
- 不检查上下文就批准推送通知：批准前始终验证登录位置和设备
生成强密码来配合你的 2FA 设置，请使用我们的密码生成器。
常见问题
2FA 可以被绕过吗？
TOTP 可以被实时钓鱼攻击绕过（攻击者在验证码过期前代理使用），或被设备上的恶意软件绕过。安全密钥（WebAuthn）能够抵御钓鱼攻击，因为它们会验证网站的域名。没有任何 2FA 方法是 100% 万无一失的，但所有方法都能大幅降低攻击成功率。
我应该使用密码管理器内置的 TOTP 功能吗？
将 TOTP 验证码存储在密码管理器中很方便，但将两个因素放在了同一个地方。对于大多数人来说，这种便利性是值得的权衡——带有 2FA 的密码管理器远比没有 2FA 的账户安全。对于高价值账户，考虑使用单独的身份验证器应用或硬件安全密钥。