数码与工具

Google 备用验证码是正常两步验证不可用时的第二步替代，不是忘记密码后的万能找回凭证。应在仍能进入账号时，先确认已开启两步验证，再到备用码设置生成，并可打印后放在保管重要文件的安全地方。需要使用时，在登录页选择其他验证方式，输入一条未使用的码；用过就标记，因为同一条只能用一次。丢失、用完或怀疑被窃时可生成新的一组，旧组会全部失效。不要把码发给任何人；加入 Google 高级保护计划的账号不能下载备用码，需走对应方案。

独立密码的重点是不同账号不共用，而不只是把同一个密码写得更复杂。一处密码被窃，复用它的其他账号也可能受影响。记不住时，可以使用可信密码管理器来生成、保存和填入各账号的强密码；Google 密码管理器就是提供这些功能的一种工具，不代表唯一选择。自己设密码时，避开易被查到的个人信息和常见易猜模式。若把密码存入 Google 账号，还应为该账号补好恢复信息并开启两步验证，不能只保护被保存的账号、漏掉保存密码的入口。

两步验证是在密码之外增加保护，不是换一个更复杂的密码。以个人 Google 账号为例，在“安全性与登录”中找到“您登录 Google 的方式”，进入两步验证并按页面提示完成设置。选择方式时不要认为都一样：短信或语音验证码存在号码相关攻击风险，官方也提供验证器应用、通行密钥和硬件安全密钥等方式，其中通行密钥和硬件密钥用于增强抗钓鱼保护。验证码不要交给别人；使用通行密钥登录时，可能没有单独的第二步提示，这并不等于两步验证被关闭。

不一定。HTTPS保护的是浏览器与当前网站之间的连接，并不证明这个网站就是你要找的官方服务，也不保证内容、交易或下载安全。钓鱼网站同样可以使用HTTPS。登录、付款或下载前，要把完整网址与自己独立确认的官方入口核对，不能只看页面里的品牌名、标志或连接图标。若页面来自突然收到的消息，先离开它，改从自己保存过的书签、已安装的官方应用，或账单、合同、卡片背面、产品包装上印的网址重新进入；无法确认来源时，暂不提交敏感信息。

先问自己：我刚才是否在自己掌控的设备上，通过确认过的官方入口发起了这次登录？没有，就不要同意；Google登录提示中可选择“否”。确实发起了，也要对照账号、设备、时间及当前页面；若要求数字匹配，只对照自己正在操作的页面，不照别人发来的数字点选。二维码可能参与登录验证，不只是查看网页。陌生消息里的码先不扫；需要核实“账号异常”，从已确认的官方应用或网站另行进入。

先给自己找一个可信起点：设备自带的官方应用商店、以前自己保存并用过的书签、已安装旧版本里的“帮助/关于/检查更新”、购买凭证与包装或授权邮件上印的网址、单位或学校IT提供的软件门户，都比搜索结果更靠得住。从这个起点核对产品名称、开发者及官方列出的下载渠道，不要仅凭搜索排名或页面上的“官方下载”字样。下载前记下官网说明中的发布者，下载后、运行前再对照商店或系统显示的发布者与签名信息。信息缺失或不一致时先停，不按陌生页面的指示关闭保护。应用商店和有效签名都能提高把握，但都不等于绝对安全：SmartScreen对已签名的新文件也可能提示信誉不足。