邮箱才是账号的根：它一旦失守，别的都白设
一条被忽略的主线
搜 凯发网唯一 这类词的人，多半在意的是入口安全。但账号安全里有一个更基础的环节，很少被提起：邮箱。
原因在于邮箱在账号体系里的位置——它通常是找回一切的起点。
想一下这条链路：
忘了密码 → 点"找回密码" → 系统发一封邮件到你的邮箱 → 你点链接 → 设新密码。
这意味着：谁控制了邮箱，谁就能重设密码。
所以邮箱的安全级别，应该不低于它能找回的任何一个账号——这一点多数人没有意识到。
失守之后会发生什么
邮箱被入侵不是孤立事件，它会连锁扩散。
攻击者拿到邮箱之后的典型动作：
先搜邮箱内容。 搜"注册""欢迎""验证""账单"这类关键词，很快就能列出你在哪些平台有账号。
这一步很多人没想到：你的邮箱本身就是一份账号清单。
逐个走找回密码流程。
改掉这些账号的绑定信息，切断你的找回途径。
设置邮件转发或过滤规则，把平台发来的安全提醒自动删除或转走，让你察觉不到。
这一条特别隐蔽 ——你以为没收到通知，实际上是被规则拦掉了。
利用邮箱身份向你的联系人发信。
所以邮箱失守的影响面，比某一个平台账号被盗大得多。
加固清单
按重要性排序，都是具体动作。
一、邮箱用独立密码。
不与任何其他账号相同。
撞库是最常见的入侵方式 ——别处泄露的密码被拿来挨个试。
二、邮箱开二次验证。
这是整份清单里最重要的一条。
验证器应用优于短信 ——短信可被 SIM 卡补办攻击绕过（攻击者用伪造材料到运营商补办你的号码，之后所有短信都到他手里）。
恢复码离线保存 ——写在纸上，或存进能跨设备同步的密码管理器。不要只截图存在同一部手机的相册里，手机丢了会一起丢。
三、检查转发和过滤规则。
这一条几乎没人做，但它是发现"静默入侵"的关键。
去邮箱设置里看：有没有你不认识的自动转发地址？有没有把某类邮件自动归档或删除的规则？
如果有，说明可能已经被入侵过。
四、检查已授权的应用。
邮箱服务商通常有"第三方应用访问"或"已连接的应用"页面。
撤销不认识的、不再用的。
五、检查登录记录。
主流邮箱都提供最近登录的时间、地点、设备。
看到陌生记录，立即改密码并下线所有会话。
六、确认备用邮箱和备用手机号是你自己的、且还在用。
很多人的备用邮箱是十年前注册的，早就登不上了。
邮箱本身的选择
几个实际考虑。
用还在活跃维护的邮箱服务。 长期不用的小众服务可能被注销回收，而回收后别人注册了同一个地址，就能收到你的找回邮件。
别用工作邮箱注册个人账号。 离职之后邮箱通常会被回收，届时账号找回就断了。
别用运营商赠送的邮箱。 换套餐或销号时可能一起消失。
考虑分开使用。
重要账号（涉及资金的）用一个邮箱。
日常注册、订阅、购物用另一个。
这样即便日常邮箱在某次数据泄露中暴露，重要账号也不受影响。
这个做法的成本很低，效果很直接。
手机号也一样需要看
顺带说，因为它和邮箱是同一类角色。
手机号被回收的风险。 停用的号码会被运营商回收再放出，新机主可能收到你的验证短信。
所以换号之后，务必去每一个绑定过的平台改绑。 这件事很少有人做完整。
SIM 卡补办攻击。 前面提过，对策是给手机号设服务密码，并尽量用验证器应用而不是短信做二次验证。
一个自查：如果现在把你的手机号停掉，有多少账号会找不回来？ 这个问题的答案通常让人不安。
定期该做的几件事
归纳成一份可以照做的清单。
每月：
看一次各平台的登录设备列表。 发现陌生设备先远程下线，再改密码 ——顺序很重要，因为部分平台改密码不会作废已有会话。
每季度：
看邮箱的登录记录、转发规则、已授权应用。
检查支付平台的免密支付/自动扣款授权列表。
确认绑定的手机号、邮箱都还在用。
每次换设备或换号：
旧设备先正常退出登录，再卸载。 退出登录会让服务端清除该设备的会话，卸载不会。
换号后逐个平台改绑。
新设备登录后立刻检查设备列表，把旧的清掉。
任何时候：
不在公共设备上勾"记住我"，用完主动退出而不是只关标签页。关标签页不等于退出，会话在服务端仍然有效。
不点任何"客服"主动发来的链接。
不向任何人提供验证码 ——平台不会要验证码，没有例外。
密码管理器为什么值得用
上面几条清单执行起来的最大障碍是：每个账号都用不同密码，人记不住。
密码管理器解决的正是这个问题，而且顺带解决了另外两个。
一、它生成并保存高强度密码。 你不需要记，也不需要想。
二、它按域名精确匹配。
这一条价值最大：在仿冒站上它不会自动填充。
因为域名对不上，它根本不认。而你可能看漏一个字母，它不会——它不依赖你的注意力。
这等于给你加了一道不用费心维持的防线。
三、它能告诉你哪些密码重复了。
多数密码管理器有安全检查功能，列出重复使用的、强度弱的、出现在已知泄露数据里的。
第一次跑这个检查，多数人会发现重复使用的密码比自己以为的多。
几个使用要点：
主密码要足够强，而且别用在任何其他地方。
主密码丢了通常找不回来 ——这是设计使然，服务商也解不开。所以恢复方式要提前设好。
给密码管理器本身开二次验证。
优先从重要账号开始迁移，不用一次性把几百个账号都弄完。
一个两分钟的自查
现在就能做，回答这几个问题：
你的邮箱密码，在别的地方用过吗？
你的邮箱开二次验证了吗？
如果现在手机丢了，你能进得去邮箱吗？
你上次看邮箱的转发规则是什么时候？
你的备用邮箱还能登录吗？
如果现在把手机号停掉，有多少账号会找不回来？
这六个问题里只要有一个答案不利，那就是接下来该处理的第一件事。
常见问题 FAQ
问：为什么邮箱比密码更关键？
因为找回密码的流程终点在邮箱。谁控制了邮箱，谁就能重设你其他账号的密码。
问：邮箱被入侵后攻击者会做什么？
先搜邮件列出你有哪些账号，逐个走找回流程，改掉绑定信息，再设置转发或过滤规则把安全提醒藏起来，让你察觉不到。
问：加固邮箱最重要的一步是什么？
开二次验证，并且用验证器应用而不是短信（短信可被 SIM 卡补办攻击绕过）。恢复码要离线保存。
问：转发规则为什么要查？
这是"静默入侵"最常见的痕迹——安全提醒被自动删除或转走，你会以为一切正常。多数人从没打开过这个设置页。
问：换手机号之后要做什么？
逐个平台改绑。停用的号码会被运营商回收再放出，新机主可能收到你的验证短信。
理性对待，量力而行。邮箱是账号体系的根，它的安全级别应该不低于它能找回的任何一个账号。