「大家實際上到底都怎麼保管密碼的？」就讓我們用可信的調查數據來回答，再回推出一套安全的做法。簡短的版本：最常見的保管習慣，正是攻擊者所利用的那些。
數據怎麼說「大家都怎麼保管」
數字會因國家與調查而異，但幾項可信的研究呈現出相同的趨勢。
Security.org 的年度報告發現，超過半數的美國成年人仰賴非管理器的方式（記憶、瀏覽器、紙本）。瀏覽器保存也在上升——但許多在瀏覽器裡保存密碼的人並未意識到與專用管理器相比的安全差異。
為什麼「跟大家一樣」是危險的
這些常見習慣會直接導向重複使用、弱密碼與遺失——正好是攻擊者最擅長的地盤。
當你「靠記憶來管理」時，你會把密碼限縮在記得住的範圍內——於是重複使用相同或相似的密碼。接著，只要有一個服務外洩，攻擊者就能拿那組組合到處去試（憑證填充）。大多數遭外洩的密碼都是重複使用的這個事實，正說明了把「容易記住」擺在第一位，會如何直接轉化為一連串的連鎖入侵。
各種保管方式的安全程度
常見但有風險
- 記憶：受限於你能記住的範圍 → 推動重複使用與弱字串
- 紙本／便利貼：容易遺失、被旁人偷看、消失不見；數量一多就撐不住
- 瀏覽器保存：比什麼都不做好，但對裝置遭接管很脆弱，且監控／分享功能薄弱
- 試算表／筆記 App 裡的明文：一個檔案外洩就全部曝光
安全的做法
- 密碼管理器：自動為每個網站產生並保存一組強而唯一的密碼；在假網站上不會自動填入＝抗釣魚
- passkey：一種完全沒有可被竊取的共用秘密的登入方式
- MFA：即使密碼外洩也能阻止被濫用
- 紙本只用於復原碼：限縮在復原碼之類的用途
重點不是「別再用記憶或紙本」——而是**徹底消除去記住的需要。**管理器讓每組登入都唯一並替你記住，於是你只需要保護一組強而有力的主密碼（以及它的備份）。
哪種保管方式適合你的情況
即使原則上專用管理器最好，實際的選擇仍取決於你的裝置和家庭狀況。請選擇你能持續使用的方式。
| 你的情況 | 建議的保管地點 | 理由 |
|---|---|---|
| 只用 iPhone 和 Mac | 內建的「密碼」App（iCloud 鑰匙圈） | 不需額外訂閱，就有產生、自動填入與外洩警告 |
| 主要用 Android 和 Chrome | Google 密碼管理工具 | 已內建於 Chrome 和手機，並有密碼檢查功能 |
| 混用多種平台，例如 Windows 加 iPhone | 專用的雲端型密碼管理器 | 一個保險庫就能跨作業系統使用 |
| 與家人共用帳號 | 具共享功能的專用管理器 | 不必透過聊天或電子郵件傳送密碼 |
| 不擅長使用科技產品的家人 | OS 內建的保存功能，加上紙本記錄的復原資訊 | 步驟少、容易持續。在家中固定的地方放一張紙 |
| 工作用帳號 | 依公司指定的方式 | 不要把工作用的登入混進個人的管理器 |
OS 內建的密碼保存功能，比記憶、紙本或筆記 App 安全得多。如果拿不定主意，就從你已在使用的裝置上的保存功能開始，等需要跨平台時再改用專用管理器。
如何檢查自己的保管習慣
大約十分鐘就能找出弱點。
對已儲存的密碼執行檢查
在 Chrome：右上角的個人資料 → 「密碼」（或 更多 → 「密碼和自動填入」→「Google 密碼管理工具」）→ 左側的 "Checkup"（密碼檢查）。它會列出已外洩、重複使用與過弱的密碼。在 iPhone 上，「密碼」App 的「安全性」區塊會把同類警告整理在一起。
找出明文的副本
在筆記 App、手機相簿（截圖）、傳給自己的訊息，以及試算表或文字檔中搜尋「密碼」「password」「pass」。把找到的內容移到正規的保存地點，再刪除原檔，包括資源回收筒裡的。
先修正重要帳號的重複使用
即使步驟 1 顯示很多警告，也不必一次全部修正。先更換電子郵件、Apple／Google 帳號、銀行和購物網站的密碼。
檢查必須自己決定的密碼強度
主密碼這類必須自己決定的密碼，請用 密碼強度檢查器 確認長度和是否容易被猜中。
常見錯誤與修正方法
- 定期更換時只改最後一個數字：很容易從舊密碼猜出來。請換成完全不同的密碼，而且只在收到外洩通知時更換。
- 「一組強密碼用在所有地方」：只要一處外洩，所有帳號都會曝光，強度再高也沒用。每個服務請用不同的密碼。
- 匯入管理器後仍留著舊的筆記或試算表：匯入完成後請刪除明文原檔。
- 復原碼只存在管理器裡：被鎖在外面時就拿不到。復原碼也請另外保存一份，例如紙本。
實際案例：保管方式如何影響損害
本站事故解說中，有兩個保管方式和重複使用直接造成損害的案例。
- 宅ふぁいる便（2019）：營運方以明文保存登入密碼，連同約 480 萬筆資料一起外洩。在其他地方重複使用這些密碼的使用者，在那些地方也面臨風險。使用者能做的是：讓每個服務都有各自的密碼。
- 7pay（2019）：沒有兩步驟驗證，只要 ID 和密碼就能登入。從其他地方外洩、被重複使用的密碼可以直接登入。在使用者這一側，停止重複使用並在有提供時開啟兩步驟驗證，才是有效的做法。
兩個案例中，即使營運方有缺失，每個服務都使用不同密碼的使用者，仍能阻止損害擴散到自己的其他帳號。
接著讀
- 確認外洩：如何確認密碼是否外洩（Have I Been Pwned）
- 實務上：如何挑選密碼管理器（消除去記住的需要的基本做法）
- 一個常見問題：把密碼存到 Google Drive 安全嗎？
- 下一步：什麼是 passkey ／ 如何挑選 MFA
- 建置端的視角：密碼的安全保存方法（雜湊與鹽）
資料來源
- Security.org, "Password Manager Annual Report (2024)": security.org
- Bitwarden, "World Password Day Global Survey (2024)": bitwarden.com
- Verizon, "2024 Data Breach Investigations Report (DBIR)": verizon.com
- NIST, "SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management"（2025 年 8 月）: pages.nist.gov
- Google「檢查密碼是否已外洩或強度不足」（密碼檢查）: support.google.com
- Apple 平台安全性「Password security recommendations」: support.apple.com