每个网站都用不同密码，普通人到底怎么做得到？
结论先行：每个网站用不同密码，靠的不是记性，而是系统：核心账户先换、密码管理器负责记、生成器负责造。真靠人脑记上百个密码的人不存在，试图这样做的人最后都会退回复用。下面把撞库的原理、换密的优先级顺序和改造旧密码的过渡办法讲清，你可以从今天起分三批把账户清理完。整个过程不需要一口气完成，关键是先把最要命的那几个账户从复用名单里摘出来。
官方规则核对：2026-10-29 · OpenAA 中文整理
复用密码为什么最危险：撞库攻击
每年都有大量网站被拖库，邮箱加密码的组合在黑市成批量流通。攻击者拿这些组合写成脚本，自动去各大邮箱、银行、购物网站逐个登录试，这叫撞库（credential stuffing），全程机器完成，命中一个算一个。
这意味着你的密码哪怕再复杂，只要在一个防护差的小论坛泄露过，攻击者根本不需要破解它，直接拿来用就行。复用让最弱的那家网站，决定了你所有账户的安全水平。
先换哪几个：核心账户优先级
账户太多不用一次换完，按这个顺序来：第一是常用邮箱，它是所有找回密码的枢纽；第二是银行、券商、支付和报税相关账户，直接连着钱；第三是社交账号和苹果、谷歌这类生态 ID，被盗会被用来冒充你骗亲友。
剩下的购物、视频、论坛类可以分批慢慢换。先把最重要的十来个换成独一无二的强密码并打开双重验证，风险就已经降下来一大半，不必等全部换完才算数。
记住这件事，交给密码管理器
上百个各不相同的随机密码，人脑记不住也不需要记。密码管理器的作用就是生成、保存、自动填充，你只记住一个主密码。没有管理器之前，很多人用“基础词加网站名”的自创规则过渡，这比完全复用好，但规则一旦被看破一个样本，其余账户也能被推导出来。
过渡规则只能救急，终局方案仍是每个站一段独立的随机密码。迁移并不难：从核心账户开始，每登录一个网站，顺手把密码换成管理器生成的新密码，一两个月就迁移完了。
新密码怎么造：随机生成加妥善保存
换密时不要自己想新密码，人的新点子通常只是旧密码的变体。用 password-generator 把长度设到 16 位以上、字符集全开，生成后直接粘贴到网站的修改密码页，再存进管理器，全程不经过你的记忆，也就没有“想弱了”的机会。
注意两个细节：改密后在管理器里确认新密码已保存再退出页面；如果网站提供“退出其他所有设备登录”的选项，改密时一并勾选，把可能已存在的陌生会话踢掉。
顺手清理：关掉不用的旧账户
换密过程中会翻出很多早已不用的老账户：多年前的购物站、论坛、抽奖页。这些账户留着只会增加泄露面，能注销的直接注销，注销不了的就把密码换成随机强密码，并删掉里面存的地址、电话等资料。
另外建议到邮箱里搜一遍历年的注册邮件，顺藤摸瓜找出自己都忘了的账户。清理完之后，你的账户清单会短很多，后续维护也轻松得多。
盘点时可以顺带给账户做个简单标记：哪些绑了银行卡、哪些绑了手机号、哪些只是看看新闻。绑了钱和身份的账户永远排在换密队列最前面，这份清单以后每次收到泄露新闻时都能直接拿出来对照处理，心里有数就不容易慌。
常见问题
基础密码加网站缩写，算不算不同密码？
算过渡办法，不算真正独立。攻击者拿到你一个样本后很容易反推出规则，再按同样规则生成其他网站的密码。重要账户不要用这种规则。
我怎么知道自己的密码有没有泄露过？
可以用邮箱在泄露查询服务里查是否出现在已知泄露库中，也可以看密码管理器自带的泄露监测功能；收到网站的泄露通知邮件时，不要拖，立即改密。
全家共用一个密码管理器账户行吗？
多数管理器有家庭版和共享保险库功能，可以给家人各自的登录项、共享家庭共用项，比全家共用一个密码安全得多，也方便各自改密。
换密码时网站不让粘贴怎么办？
个别网站会拦截粘贴，这类站点可以在管理器里手动输入，或逐字照着管理器显示的密码敲。NIST 明确建议网站应允许粘贴，拦截粘贴属于落后的设计。
检查我的材料
→ 使用密码生成器。按需要继续使用下面的相关工具。
官方来源与适用范围
本文为中文整理的生活指南，数字为估算或区间，具体以官方最新公布为准。
攻略看完了，去做一次模拟考试
到 dmv.openaa.com 选择你的州，刷中文题库、做模拟考试，考前检验一下。去刷 DMV 中文题库 →