對象：把網站後台或帳號的密碼存在 Google Drive 的文件或試算表裡，心想「這樣安全嗎？」的人。本文老實回答。這裡不講攻擊手法，只講 如何安全地保管。
本站的觀點：問題不在「用 Drive」，而在「明文」
常見的誤解是「放到雲端不好」。並非如此。真正的問題在於以明文列成清單。透過 Drive 同步加密的密碼 vault（例如 KeePass 的 .kdbx），是世界各地普遍採用的安全做法，因為沒有主金鑰，檔案就只是一堆密文。
反過來說，無論 Google 帳號防護多嚴密，只要內容是明文表格，進入帳號的人就能讀到全部。請用「沒有你的金鑰能不能讀」來思考，而不是在不在雲端。
為什麼明文清單很危險
人們容易覺得「放在設了強密碼的 Google 帳號裡，沒問題」。但明文清單會疊加它自己的風險。
具體來說，以下任何一種情況，都會讓 整份清單 外洩。
Google 帳號被盜
授權給惡意的關聯應用程式
手動複製貼上導致的釣魚
裝置與共用連結擴散
而且 Google Drive 本身的加密是 Google 自己能讀取內容的那種，不是專為機密設計的。在交給任何保管方之前，先讓機密在沒有你的金鑰時無法讀取。 這就是處理機密的原則（與 .env 檔案與機密資訊 的想法相同）。
從危險到安全的標尺
同樣是「存在 Drive」，依內容不同，安全性差異極大。
✗ 明文表格
直接寫在文件／試算表裡
△ 加密 zip
設密碼的壓縮檔。太麻煩，大家往往就不用了
○ 加密 vault
透過 Drive 同步 KeePass 的 .kdbx
◎ 密碼管理器
Bitwarden/1Password。自動填入＋監控
以下整理常見的密碼存放位置，在有人進入你的 Google 帳號（或電腦）後，內容能否被讀取。
| 存放位置 | 有人進入後能讀嗎？ | 判斷 |
|---|---|---|
| 直接寫在 Google 文件或試算表 | 能，原封不動 | 危險 |
| 只設了工作表保護的 Excel | 能（它只防修改，不是加密） | 危險 |
| 使用「以密碼加密」的 Excel | 沒有開啟密碼就不能 | 次佳（沒有自動填入與警告） |
| 透過 Drive 同步的 KeePass .kdbx | 沒有主密碼就不能 | 安全 |
| 使用裝置端加密的 Google 密碼管理工具 | Google 表示只有你能讀取 | 安全 |
| 專用密碼管理器（Bitwarden / 1Password） | 沒有主密碼就不能 | 安全 |
決定因素有兩個：內容是否加密，以及你是否仍要手動複製密碼。加密的 Excel 通過了第一項，但因為每次都要從表格複製，貼到仿冒網站的風險仍然存在。
正確的保管方式
最好的答案是 改用專用密碼管理器。照以下步驟就能擺脫明文清單。
使用專用密碼管理器
主密碼要長且唯一
為管理器和 Google 帳號開啟抗釣魚 MFA
遷移後徹底刪除明文清單
能用 passkey 的地方就改用
Google 文件裡的明文清單
- 一個帳號被盜，全部 外洩
- 可能手動貼到仿冒網站上（沒有釣魚防護）
- 沒有外洩偵測、自動填入或版本管理
- 關聯應用程式的存取權可以讀取內容
專用密碼管理器
- 同步時內容 保持加密（服務提供者讀不到）
- 不會在仿冒網域上自動填入＝抗釣魚
- 內建強密碼產生、外洩監控、歷史記錄
- 由主密碼 加上 MFA 保護
如果還是想用 Drive
最低條件有兩個。
- 只存放加密的 vault 檔案（.kdbx 等）；絕不存明文文件／試算表
- 為 Google 帳號開啟抗釣魚 MFA
兩者都做到，Drive 就只是一個同步密文的地方，風險會大幅降低。
把試算表移到密碼管理器
不需要一筆一筆重新輸入。用 CSV 檔案（一種純文字表格格式）就能一次匯入。
先決定匯入目的地，再下載成 CSV
在 Google 試算表中：檔案 > 下載 > 逗號分隔值 (.csv)。這個 CSV 本身就是未加密的清單，所以要計畫在同一天匯入並刪除。
把欄位名稱改成匯入工具要求的名稱
Google 密碼管理工具要求第一列的標題是 url、username、password。Bitwarden 有自己的標題（name、login_uri、login_username、login_password 等）。名稱不符時匯入會失敗，請依照管理器說明頁面上的範例調整。
匯入
Google 密碼管理工具：前往 passwords.google.com > 設定 > 匯入。Bitwarden 網頁版：使用「Tools > Import」（工具 > 匯入）。Google 一次最多可匯入 3,000 組密碼。
刪除 CSV 和原本的清單
刪除下載的 CSV，並清空電腦的資源回收筒。Google 和 Bitwarden 都要求匯入後刪除這個檔案。Drive 上原本的試算表也要刪除，再從 Drive 的垃圾桶中永久刪除（30 天後會自動刪除，但在那之前都會留著）。
先更換重要的密碼
從外洩時損害最大的帳號（郵件、網路銀行、網站管理後台）開始，改用密碼管理器產生的新密碼。這些密碼放在清單裡的期間，任何進入你 Google 帳號的人都讀得到。
如何檢查自己的設定
即使「已經全部搬走了」，舊副本和共用設定也常常還留著。請在自己的帳號中檢查以下四件事。
在 Drive 搜尋 password 這個詞
Drive 的搜尋不只看檔名，也會搜尋檔案內的文字。搜尋「password」「pw」「login」「密碼」等，並加上 type:spreadsheet 或 type:document 縮小到試算表和文件。也要檢查共用雲端硬碟和別人共用給你的檔案。
檢查找到的檔案的共用設定
選取檔案，開啟「共用」，查看「一般存取權」是否設為「知道連結的任何人」。在這個設定下，任何拿到連結的人不用登入 Google 帳號就能開啟檔案。如果暫時還不能刪除，請改成「限制」。
檢查可以存取你帳號的應用程式
Google 帳戶的關聯應用程式頁面（myaccount.google.com/linkedapps）會列出你授權存取 Google 帳戶的應用程式。移除已不再使用或不認得的應用程式的存取權。
檢查下載資料夾和 Excel 檔案
找找有沒有舊的 .csv 或 .xlsx 匯出檔。如果仍保留 Excel 清單，請確認使用的是「檔案 > 資訊 > 保護活頁簿 > 以密碼加密」，而不只是工作表保護。
順便確認你的 Google 帳號登入是否使用 passkey 或兩步驟驗證（→ MFA 指南）。
常見錯誤與修正方式
- 只刪除了列，卻保留檔案：Google 文件和試算表會保留版本記錄，可以開啟並還原舊版本。遷移後請刪除整個檔案，或以擁有者身分刪除版本記錄。
- 依賴工作表保護：Microsoft 表示這不是安全性功能。要讓內容無法讀取，必須加密整個檔案。
- 把遷移用的 CSV 留在下載資料夾：任何能使用這台電腦的人都能開啟。匯入後立刻刪除。
- 把加密檔案的開啟密碼寫在同一個 Drive 裡：有人進入 Google 帳號就能同時拿到兩者。這一組密碼請記在腦中，或寫在紙上放在家裡。
- 用試算表與家人或團隊共用密碼：請改用密碼管理器的共用功能。有人離開時，可以只移除那個人的存取權。
實際案例：在一處讀得到的資訊，通往下一組憑證
2026 年 6 月，日本群眾募資平台 CAMPFIRE 公布了未經授權存取事件的調查結果。根據該公司的說明，一名員工核發的 GitHub 憑證遭第三方濫用，之後對方利用在 GitHub 上可檢視的資訊，搜尋並取得了內部業務用雲端環境的憑證。該公司表示，受影響使用者資訊去除重複後共225,846筆，可能發生外洩（詳見 本站對 CAMPFIRE 事件的整理，英文）。
這個案例是關於公司的開發環境，但模式與個人的密碼清單相同。當有人進入一個帳號，並在那裡讀到其他憑證時，損害就不會停在那個帳號。把明文密碼清單放在 Google 帳號裡，等於讓下一組憑證在那裡等著入侵者。
本站是怎麼做的
本站讓機密（密碼、金鑰、連線字串）不進入共用文件、不進入程式碼儲存庫、不進入交接筆記，絕不以明文存放（→ 不把機密放進 git）。日常的登入資訊放在密碼管理器，重要帳號再以抗釣魚 MFA 雙重保護。原因很簡單：絕不建立攻破一處就暴露全部的狀態。明文清單正是造成這種狀態的典型做法，所以我們避免它。
接下來閱讀
- 檢查外洩：如何檢查密碼是否外洩（Have I Been Pwned）
- 數據：大家都怎麼保管密碼？ ── 調查數據怎麼說，以及安全的做法
- 原理：密碼的安全保存方法（雜湊＋鹽） ── 管好自己的保管之後，「服務端」應該怎麼保存
- 術語：什麼是雜湊 / 什麼是鹽
- 基礎：安全最低限度檢查清單（最先要保護的帳號、機密的保護方式）
- 術語：.env 檔案與機密資訊
- 案例：CAMPFIRE 事件（從 GitHub 到內部雲端）（英文）
- 自架：不把機密放進 git／自架 Git vs GitHub
- 工具：密碼強度檢測器
參考資料
- Microsoft Support, "Protection and security in Excel"（工作表保護不是安全性功能；檔案加密）：support.microsoft.com
- Google 雲端硬碟說明, "Find files in Google Drive"：support.google.com / "Share files from Google Drive"（一般存取權）：support.google.com / "Delete and restore files"（垃圾桶保留 30 天）：support.google.com
- Google 文件編輯器說明, "Check activity and file versions"（版本記錄及其刪除）：support.google.com
- Google 帳戶說明, "Manage links between your Google Account and third-party apps"：support.google.com
- Google 帳戶說明, "Import passwords"（CSV 標題、上限、匯入後刪除）：support.google.com / "On-device encryption"：support.google.com
- Bitwarden Help, "Import Data to Bitwarden" 與 "Condition a Bitwarden .csv or .json"：bitwarden.com / bitwarden.com
- CAMPFIRE, Inc., 未經授權存取事件調查結果（2026 年 6 月 2 日，日文）：campfire.co.jp