「大家实际上都怎么保存密码？」让我们先用权威的调查数据来回答，再倒推出一个安全的做法。简短版：最常见的保管习惯，恰恰是攻击者会去利用的那些。
关于「大家都怎么保存」，数据怎么说
数字因国家和调查而异，但几项权威研究显示出同样的趋势。
Security.org 的年度报告发现，超过一半的美国成年人依赖非管理器的方式（记忆、浏览器、纸）。浏览器保存也在上升 —— 但许多把密码存在浏览器里的人，并未意识到它与专用管理器之间的安全差异。
为什么「跟大家一样」很危险
常见的习惯会直接导向重复使用、弱密码和丢失 —— 恰恰是攻击者最擅长的领域。
当你「靠记忆来管理」时，你会把密码限制在自己记得住的范围内 —— 于是你重复使用相同或相似的密码。然后，只要一个服务发生泄露，攻击者就能拿那组账密去其他所有地方挨个尝试（撞库）。大多数被泄露的密码都是重复使用的这一事实表明，把「容易记」放在第一位，会直接变成一条连环失守的链条。
各种保管方式的安全程度
常见但有风险
- 记忆：受限于你能记住的范围 → 导致重复使用和弱字符串
- 纸 / 便利贴：容易丢失、被偷看、消失；数量一多就崩
- 浏览器保存：比什么都不做好，但抵不住设备被接管，监控/共享也很薄弱
- 电子表格 / 备忘录里的明文：一个文件泄露，全部暴露
安全的做法
- 密码管理器：为每个网站自动生成并保存一个强而唯一的密码；在假网站上不自动填充＝抗钓鱼
- passkey：一种根本不存在可被盗的共享秘密的登录方式
- MFA：即便密码泄露，也能阻止被滥用
- 纸只用于恢复码：把它限制在恢复码之类的用途上
重点不是「别再用记忆或纸」 —— 而是从根本上消除「需要去记」这件事。 管理器让每个登录都唯一并替你记住，于是你只需要保护好一个强主密码（以及它的备份）。
哪种保管方式适合你的情况
即使原则上专用管理器最好，现实的选择也取决于你的设备和家庭情况。请选一个能坚持用下去的。
| 你的情况 | 推荐的保存位置 | 理由 |
|---|---|---|
| 只用 iPhone 和 Mac | 系统自带的「密码」App（iCloud 钥匙串） | 无需额外订阅，就有生成、自动填充和泄露警告 |
| 主要用 Android 和 Chrome | Google 密码管理工具 | 已内置于 Chrome 和手机，并带有密码检查功能（Password Checkup） |
| 混用多个平台，例如 Windows 加 iPhone | 专用的云端密码管理器 | 一个金库跨操作系统使用 |
| 和家人共享账号 | 带共享功能的专用管理器 | 不必通过聊天或邮件发送密码 |
| 不擅长操作电子设备的家人 | 系统自带的保存功能，加上纸质的恢复信息 | 步骤少，容易坚持。一张纸放在家中固定的地方 |
| 工作账号 | 按公司规定 | 不要把工作登录信息混进个人管理器 |
系统自带的密码保存功能，比记忆、纸或备忘录安全得多。拿不准的话，就先从你已经在用的设备上的保存功能开始，等需要跨平台时再迁移到专用管理器。
如何检查自己的保管习惯
大约十分钟就能查出薄弱点。
对已保存的密码做一次检查
在 Chrome 中：右上角的个人资料 →「密码」（或 更多 →「密码和自动填充」→「Google 密码管理工具」）→ 左侧的「检查」（Checkup）。它会列出已泄露、重复使用和强度弱的密码。在 iPhone 上，「密码」App 的「安全」部分会归类显示同类警告。
找出明文副本
在备忘录 App、手机相册（截图）、发给自己的消息，以及电子表格或文本文件中搜索「密码」「password」「pass」。把找到的内容迁移到正规的保存位置，然后删除原件，包括回收站里的。
先修正重要账号的重复使用
即使第 1 步显示了很多警告，也不必一次全部修正。先更改邮箱、Apple/Google 账号、银行和购物账号。
检查需要自己设定的密码的强度
对于主密码等必须自己设定的密码，用密码强度检查器检查长度和是否容易被猜到。
常见错误与对策
- 轮换时只改最后一位数字：很容易从旧密码猜出来。只在收到泄露通知时更换，并换成完全不同的密码。
- 「一个强密码用遍所有地方」：一处泄露就暴露所有账号，强度再高也没用。每个服务使用不同的密码。
- 导入管理器后还保留旧的备忘录或电子表格：导入后删除明文原件。
- 恢复码只存在管理器里：被锁在外面时就拿不到。恢复码也要在纸上等其他地方另存一份。
实例：保管方式如何影响损失
本站事件解说中，有两个保管方式和重复使用直接导致损失的案例。
- 宅ふぁいる便（2019 年）：运营方以明文保存登录密码，密码随约 480 万条记录一起泄露。在其他地方重复使用这些密码的用户，在那些地方也面临风险。用户能做的：每个服务使用不同的密码。
- 7pay（2019 年）：没有两步验证，只凭 ID 和密码就能登录。从其他地方泄露的重复使用的密码可以直接登录进去。在用户一侧，有效的是停止重复使用，并在提供两步验证的地方开启它。
两起事件中，即使运营方存在缺陷，为每个服务设置了不同密码的用户，也能阻止损失蔓延到自己的其他账号。
接着读
- 检查是否泄露：如何确认自己的密码是否已泄露（Have I Been Pwned）
- 实操：如何挑选密码管理器（消除「需要去记」的基本一步）
- 一个常见问题：把密码存到 Google Drive 安全吗？
- 下一步：什么是 passkey / 如何挑选 MFA
- 开发者视角：密码的安全保存方法（哈希＋盐）
来源
- Security.org, "Password Manager Annual Report (2024)": security.org
- Bitwarden, "World Password Day Global Survey (2024)": bitwarden.com
- Verizon, "2024 Data Breach Investigations Report (DBIR)": verizon.com
- NIST, "SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management"（2025 年 8 月）: pages.nist.gov
- Google, "Check if your passwords have been exposed or are weak"（Password Checkup）: support.google.com
- Apple Platform Security「Password security recommendations」: support.apple.com