密码不需要定期换，只在出现泄露迹象、共用设备变更或高价值账号有异常时才换，才是更合理的做法；频繁强制改密码不仅收益有限，还会让人把密码改得更弱、更好猜。
这个结论可能和很多人从小被教育的不太一样。不少公司的IT制度仍然写着”每90天必须更换密码”，很多网站也会在登录时弹出提醒。但从近几年的安全实践看，这套做法的性价比正在被重新评估。
密码多久换一次才合理？先按账号分三档
把所有账号一刀切地定成”每三个月换一次”，本质上是用一套规则应对完全不同的风险。更实用的做法是先给账号分档。
低风险账号：没有异常就不用主动换
论坛、资讯站、试用性质的电商账号，这类地方通常不绑支付信息，泄露后损失有限。它们的正确策略是：注册时就用一个独一无二的密码，之后不用刻意去换。只有当你在别处看到”某网站数据泄露”的新闻，并且自己恰好是用户时，才去改。
中风险账号：绑定手机号、有社交关系链
邮箱、即时通讯、社交平台、常用购物账号，属于中间档。这类账号一旦被登录，攻击者可以顺着找回密码流程去接管你其他账号。建议的频率是：没有异常就长期不换，但每半年检查一次登录设备和异地登录记录。发现陌生设备、陌生地点、异常发信，立刻改密码并踢掉所有会话。
高风险账号：钱、身份、核心数据
网银、支付工具、证券账户、公司核心系统、云服务器控制台。这类账号的重点不是”多久换一次”，而是”必须开两步验证”。密码本身建议一年左右审视一次，或者在你怀疑被旁观、被记录、借用过他人设备之后立即更换。
| 账号类型 | 建议更换时机 | 更该做的事 |
|---|---|---|
| 论坛、资讯、一次性注册 | 基本不用主动换 | 密码唯一，不与常用密码复用 |
| 邮箱、社交、购物 | 无异常不换，半年查一次登录记录 | 开启两步验证，绑定独立邮箱 |
| 支付、银行、公司系统 | 约一年审视一次，怀疑泄露时立即改 | 两步验证优先用认证器App |
| 共用设备上的账号 | 交接、离职、借出后立即改 | 单独建账号，不共用同一密码 |
频繁改密码真的更安全吗？答案可能和直觉相反
定期强制更换密码，起源于上世纪八九十年代的大型机管理思路。当时的威胁模型是”密码可能被长期窃听并慢慢破解”，缩短有效窗口确实能降低损失。但今天的攻击方式已经完全变了。
强制轮换的三个副作用
- 密码可预测地变弱。人被逼着每90天想一个新密码，最后往往变成”原密码加个1″”末尾换成年份””大小写轮着改”。这类变形在破解工具面前几乎等于没改。
- 写法越来越随意。为了记得住，很多人会把密码写在便签、记事本、聊天记录里，等于把密码从脑子里搬到了更容易被看到的地方。
- 钓鱼成功率上升。密码快过期时，一封”您的密码即将到期，请点击此处修改”的邮件，转化率高得吓人。
行业共识认为，周期性强制更换带来的边际安全收益，已经低于它造成的用户行为劣化。美国国家标准与技术研究院在数字身份认证指南中就不再建议对密码设置固定的过期周期，微软也曾公开表示其安全基线中移除了密码过期策略。英国国家网络安全中心给出的建议同样是：不要强制定期改密码，只在怀疑泄露时更改。
换句话说，该换密码的信号不是”到期了”，而是”有迹象”。这些迹象包括：
- 收到你没操作过的验证码短信或登录提醒。
- 常用密码在第三方泄露查询网站里被标记为已泄露。
- 密码管理器或系统弹出”弱密码/重复密码”警告。
- 同事收到以你名义发来的可疑邮件。
- 登录后发现设置了陌生的转发规则、恢复邮箱或备用手机号。
不同场景下密码多久换一次比较合理
规则是死的，场景是活的。几个经常被问到的具体情况，值得单独说清楚。
公司电脑和办公账号的强制更换周期怎么定
很多单位的内控合规要求写死了”90天一轮换”，短期内很难改。如果你恰好参与制度制定，可以参考的思路是：对普通员工账号取消固定轮换，改为强制两步验证加异常登录告警；对管理员账号、财务账号保留较短的轮换周期，并强制使用密码管理器生成随机密码。这样高风险的地方管得更紧，低风险的地方不再制造疲劳。
对普通员工来说，实用建议是：公司账号的密码绝不平移到个人账号上。这是内部账号泄露后最常见的扩散路径。
网银、支付类账号要不要定期改
支付类账号的价值高，但它的安全主要靠设备绑定、风控模型和短信/人脸验证兜底，密码只是其中一环。这类账号建议每年审视一次，重点是确认预留手机号、紧急联系人、免密支付额度这些东西没有被改动过。真要改密码，改完顺手检查一遍这些设置，比单纯换一串字符有用得多。
家里的路由器、摄像头、NAS要不要换密码
这类设备最常见的问题是出厂默认密码从来没改过。新设备第一次上电时就必须改，之后只要没把管理后台暴露到公网，一般不需要定期更换。但如果发现固件被刷、配置被改、设备会自动重启，那就要考虑设备已被入侵，改密码之外还得升级固件甚至恢复出厂设置。
密码泄露后要马上改哪些密码
确认泄露之后，最怕的是”只改一个，其余照旧”。因为同一套密码往往被复用在十几个地方，攻击者拿到一份泄露库，会拿它去批量尝试其他网站，这就是撞库。
按优先级操作：
- 先改邮箱。邮箱是几乎所有账号的找回入口，邮箱丢了，其他账号改密码的验证链接会直接送到攻击者手里。
- 再改资金相关账号。支付、网银、证券，改完立即检查交易记录和绑定的收款账户。
- 然后改社交和即时通讯。防止攻击者冒充你向通讯录里的人借钱、发钓鱼链接。
- 最后批量处理其余账号。凡是使用过同一密码的网站，一律换成新密码，或者干脆注销不用的。
- 改完做三件事：结束所有已登录会话、检查转发规则和恢复方式、开启两步验证。
顺序别搞反。很多人第一反应是先去改游戏账号或者某个论坛，邮箱却一直没动，等于把后门留着。
比”多久换一次”更重要的三件事
长度和唯一性，优先级高于更换频率
一个12位以上、只在单一网站使用的密码，哪怕三年不换，也比一个每月更换但四处在用的”复杂密码”安全。密码强度大致随长度指数增长，每多一位，暴力破解的难度就翻着倍往上走。
需要生成随机密码时，命令行里一条命令就够：
openssl rand -base64 18这会输出一串约24个字符的随机串。Windows下也可以在PowerShell里用随机数拼接的方式生成。生成完直接存进密码管理器，不要经过聊天软件传输。
两步验证要开，但方式有优劣
短信验证码方便，但存在被补卡、被拦截的风险；认证器App生成的动态码更稳；硬件安全密钥最强，适合管理岗和核心系统。至少要把邮箱和支付账号从”只有密码”升级到”密码加动态码”。
密码管理器值得用，但要接受它的取舍
把几十上百个账号的密码交给一个加密库管理，本质是把”记住很多件事”换成”记住一件很难的事”。风险集中了，但总体收益通常为正，因为人脑本来就不适合存储随机串。选择时看清是否本地加密、是否支持导出备份，主密码设长一点，比什么都重要。
关于密码更换频率的常见疑问
网站提示”密码已使用超过180天”，必须改吗？
不必因为一条提示就改。这类提示多为合规话术，不代表账号真的有风险。判断依据应该是前面说的五类迹象，而不是倒计时。如果网站本身安全能力弱、又不支持两步验证，那可以把它的密码单独设成一个不与其他任何地方重复的串，这样即使它泄露，也波及不到别处。
改密码时，加个数字或者符号有用吗？
用处很小。破解工具早就内置了这类变形规则，”Password2024″变”Password2025″几乎不增加成本。有效的改法是整串重来：用密码管理器生成一个新的随机密码，长度不低于12位。如果一定要手记，可以用一句话取首字母加数字的方式构造，但这种方式必须保证句子只有你自己知道，且不写在任何地方。
密码多久换一次才合理，有没有统一标准？
没有放之四海皆准的天数。业内目前的倾向是按风险分级：低价值账号注册即定型、长期不动；中价值账号以异常监测代替定期轮换；高价值账号靠两步验证兜底，密码约一年审视一次，出现泄露迹象立即更换。真正需要定期更换的，是那些无法开启两步验证、又必须长期使用的账号，这类可以控制在半年左右。