密码要多久换一次？NIST 的回答是：没事别换
结论先行：没有证据表明出事时，不要为了换而换。NIST 明确要求系统不得强制用户定期改密，因为被逼着频繁换密码的人，会用加数字、换季节词这类偷懒套路，整体反而更弱。真正需要换密的是四种具体情况，下面列全；平时把精力放在泄露监测和双重验证上，比日历提醒更管用。真正该换的时机其实很好认，本文把它们一次列全，你对照着判断自己手里的账户就行。
官方规则核对：2026-10-29 · OpenAA 中文整理
定期换密的旧规矩从哪来
早年在企业内网时代，管理者担心密码被偷后长期潜伏，于是用强制过期来压缩窗口期。这套做法被写进无数公司制度和网站提示，“90 天换一次”成了几代人的肌肉记忆。
但后续研究和 NIST 的修订都指出：这个假设在普通用户场景并不成立。大多数盗用发生在泄露后很短时间内，三个月后才换，防不住已经发生的攻击，却实实在在地把用户逼向弱口令。
为什么被逼换的密码越换越弱
人的应对方式高度一致：旧密码末尾数字加一、把 Summer 换成 Fall、在原短语后多加个符号。这些“新”密码和旧密码的相关性极强，攻击者拿到任何一版，几分钟就能推出当前版。
还有一个副作用：换得太勤记不住，只好写在便利贴、记事本或同一个文档里。原本防的是远程攻击者，结果给身边人开了门。所以 NIST 的结论是：强制轮换弊大于利，应予取消，有泄露证据时再换。
企业环境里强制轮换难以避免，但把同样的逻辑搬到家庭账户上并不成立：家里没人审计你的密码策略，你完全可以按“有事才换”的原则执行，把省下来的精力用在更有效的事情上，比如给还没开双重验证的账户补开。
这四种情况，必须马上换
一是收到泄露通知，网站或管理器提示你的密码出现在泄露库中；二是出现异常迹象，比如异地登录提醒、不认识的会话、邮箱里多了自己没发过的找回邮件。
三是密码曾经共用，告诉过家人、同事或在不信任的设备上输过；四是离职、离婚、分手等关系变化，共同账户的密码应系统地轮换一遍。出现任一情况，别等，按核心账户优先的顺序当天处理完。
换的时候，要换得像新的一样
真正需要换密时，最忌讳在旧密码上小修小补。用 password-generator 生成一段与旧密码毫无关系的 16 位以上随机新密码，存进管理器，同时把该账户的其他设备会话全部退出，让旧凭据彻底失效。
如果同一旧密码还在别的网站复用，那些网站要一并更换，不能只处理报警的那一家。撞库攻击的逻辑决定了：一个样本暴露，整套复用组合都算暴露。
代替日历提醒的，是泄露监测
现代做法是被动等报警：许多密码管理器和浏览器都带泄露监测功能，你的邮箱或密码出现在新泄露库里时会主动提醒。把通知打开，比设一个每季度响一次的换密闹钟有效得多。
日常习惯上，每年可以借报税或换手机的时机做一次账户盘点：过一遍核心账户的登录设备、备用邮箱和手机号是否还有效。这种盘点检查的是账户的整体健康，不是机械地换一串字符。
常见问题
公司强制 90 天换工作密码，怎么办？
制度层面个人改不了，但可以用短语加可变片段的方式保持强度：主体用长随机短语，只调整其中一个随机词，而不是在末尾加数字。
新密码和旧密码多不一样才算安全？
最好毫无关系、由随机生成。只要保留了旧密码的主体词加简单变化，攻击者用变形规则就能快速试出来，等于没换。
密码从没出过事，能用一辈子吗？
理论上可以，但前提是足够长、随机、不复用，并开着泄露监测和双重验证。现实中更稳妥的是把核心账户每隔一两年顺手轮换一次。
收到“密码即将过期”的邮件要理吗？
先验真假：不要点邮件链接，自己打开官网查看。正规的过期提醒只来自少数单位的内部系统，面向公众的网站基本不会发这种邮件，多半是钓鱼。
检查我的材料
→ 使用密码生成器。按需要继续使用下面的相关工具。
官方来源与适用范围
本文为中文整理的生活指南，数字为估算或区间，具体以官方最新公布为准。
攻略看完了，去做一次模拟考试
到 dmv.openaa.com 选择你的州，刷中文题库、做模拟考试，考前检验一下。去刷 DMV 中文题库 →