如何在 Google、Microsoft 和 Apple 账户上设置双重验证 (2FA)

为什么双因素认证很重要

您的密码是数字前门上的锁——而单靠锁，失守的频率远比我们愿意承认的要高。

密码会在不同网站间被重复使用，会因数据库泄露而被猜出，或通过以假乱真的钓鱼邮件被直接交给了攻击者。一个密码失守，共用它的所有账户也会随之失守。攻击者还会用自动化工具批量尝试泄露的密码组合，几秒钟之内就能覆盖成千上万个账户。

双因素认证（2FA）通过要求第二种独立的身份证明来解决这个问题：来自应用程序的验证码、受信任设备上的确认提示，或实体安全密钥。即使有人窃取了您的密码，没有这第二重因素，他们仍然无法进入。攻击者面对的不再是一道锁，而是需要同时突破的两道门。

Google、Microsoft 和 Apple 账户值得特别关注。它们是通往您生活中其他一切的万能钥匙：

• Google：电子邮件、照片、保存的密码、文档
• Microsoft：电子邮件、Office 文件、OneDrive、工作登录
• Apple：iCloud 照片、备份、支付信息、设备解锁

一旦丢失其中一个，攻击者几乎可以重置其余所有账户的密码。原因很简单：这些账户是其他网站常用的邮箱地址，也是“忘记密码”邮件的接收者。拿到邮箱，就等于拿到了所有密码重置链接。

选择 2FA 方式

并非所有第二验证因素的防护效果都相同。

• 短信验证码 — 最容易上手，无需安装任何东西。最弱的选择：验证码经由运营商网络传输，可能被拦截，也可能通过 SIM swapping（SIM 卡调包）被窃取。需要手机信号。出国漫游时收码还可能延迟或失败。只比纯密码好一点，但仍然聊胜于无。
• 验证器应用（Google Authenticator、Microsoft Authenticator、Authy）— 免费，在设备上离线生成验证码。比短信难截获得多。小麻烦：换新手机时需要迁移账户，所以启用时务必保存备份码。部分应用支持云端同步，可减轻迁移负担。
• 推送确认 — 点击即可批准登录。非常方便，但可能误点批准；一些应用加入了数字匹配（number matching）来降低这种风险。若收到不是你发起的推送请求，一律拒绝，并立即改密码——那说明有人已拿到你的密码。
• 通行密钥（Passkey） — 较新，设计上可抵御网络钓鱼，与你的设备及其生物识别绑定。设置稍多一些。网站必须单独支持；不是所有服务都可用。
• 安全密钥 — 小型硬件密钥，提供最强的防网络钓鱼能力。需要花钱，也可能丢失，所以建议买两把，一把日常随身，一把放在家里作为备份。购买前确认你的账户支持哪种协议（如 FIDO2）以及接口类型（USB-C 还是 USB-A）。

大致排序：短信 < 验证器应用 < 推送 < 通行密钥 ≈ 安全密钥。为每个账户使用其支持的最强方式，并在最重要的场合组合多种方式。例如主邮箱用安全密钥，常用网站用验证器应用。

如何在 Google 账户上启用 2FA

登录 myaccount.google.com，打开安全性，在“您登录 Google 的方式”下选择两步验证。Google 会先要求您确认密码。

添加身份验证器应用或通行密钥

• 身份验证器应用： 在两步验证设置中，选择“身份验证器应用”，用 Google Authenticator 或任何兼容的 TOTP 应用扫描二维码，然后输入其显示的六位数字代码以确认。六位代码每 30 秒更换一次，输入时注意倒计时，避免代码在提交瞬间过期导致验证失败。
• 通行密钥： 在安全性页面上，选择“通行密钥”并按照提示使用设备的指纹、面容或屏幕锁定创建一个。通行密钥可抵御网络钓鱼，且比输入代码更快。通行密钥与创建它的设备绑定；更换手机前，先在旧设备上确认新设备已添加，否则可能无法登录。

保存备用代码并添加备用验证方式

离开页面前，请下载或打印备用代码并离线保存——放在抽屉里，而不是截图。手机相册常会自动同步到云端，截图等于把备用钥匙交给了网络。然后添加第二种方法，例如安全密钥或另一台设备上的应用，这样手机丢失也不会把您锁在门外。每个备用代码只能使用一次，用掉一个就划掉一个，全部用完后回到此页面重新生成。

如何在 Microsoft 帐户上启用双重验证 (2FA)

登录 account.microsoft.com，打开“安全”，然后选择“高级安全选项”。

开启双重验证：

1. 在“双重验证”下，选择“设置双重验证”并按照提示操作。
2. 当系统询问你希望如何验证时，请选择一个选项，例如应用、电话号码或备用电子邮件。

建议优先选择验证器应用而不是短信：短信可能因换号、漫游或信号问题而收不到，而应用生成的验证码不依赖手机网络。如果只能选电话号码，务必使用一个长期保留的号码，避免日后换号时被锁在帐户外。

添加 Microsoft Authenticator 应用：

• 在同一菜单中，选择“添加新的登录或验证方式”，然后选择“使用应用”。
• 在手机上安装 Microsoft Authenticator，扫描屏幕上显示的二维码，然后批准测试通知。
• 测试通知必须成功批准后设置才算完成。如果手机上没收到，检查应用是否已添加该帐户，或重新扫描二维码。

在完成之前设置恢复信息：

• 在“恢复信息”下添加恢复电子邮件地址，以便在手机丢失时重新获得访问权限。该邮箱本身也应开启双重验证，否则会成为攻击者的薄弱入口。
• 下载或打印你的备份代码，并将其存放在安全的地方，例如钱包或家中保险箱。不要截图存入手机相册或云盘，这些位置更容易被泄露。
• 如果你在多台设备上登录过该帐户，请逐一退出并重新登录一次，确认新设置不会影响日常使用。

如何在你的 Apple ID 上启用双重认证 (2FA)

Apple 的 2FA 称为“双重认证”（Two-Factor Authentication），在大多数账户上默认已开启。要检查，请前往设置（Mac 上为系统设置），点按顶部的你的姓名，然后选择登录与安全（较旧系统版本中为密码与安全性），查看双重认证。

验证依赖于你掌控的两样东西：

• 受信任的设备 — 已登录你 Apple ID 的 iPhone、iPad 或 Mac，可显示验证码
• 受信任的电话号码 — 可通过短信或自动语音来电接收验证码的号码

在新设备或新浏览器上登录时，先输入密码，然后你的某台受信任设备上会显示一个六位验证码。输入该验证码即可完成登录。如果附近没有受信任设备，可点击“没有收到验证码？”改为发送到受信任的电话号码。

添加一个你能访问的受信任电话号码（伴侣或家人的号码也可以），可在常用设备不可用时作为备用。注意：与 Google、Microsoft 不同，Apple 不提供一次性备份码。若所有受信任设备丢失、受信任号码又无法接听，恢复账户会非常麻烦，因此至少保留两台受信任设备或两个号码。

备份码与恢复计划

启用 2FA 时，大多数服务会提供备份码：一次性代码，在常用验证方式不可用时用于登录。生成后请离线保存——打印在纸上，或存放在加密驱动器上的安全文档中。切勿将其留在笔记应用、邮件草稿或截图文件夹中，因为这些位置通常与账户同邮箱绑定，攻击者一旦入侵邮箱，备份码和验证器就一起失守。

如果丢失手机或安全密钥：

• 使用备份码登录。
• 在账户的 2FA 设置中移除丢失的设备。
• 立即注册替代设备。

每个备份码通常只能使用一次，登录成功后应将其划掉，避免误以为仍可用。如果所有备份码都已用完，请重新生成一套，旧码会自动失效。

如果没有备份码，请通过服务商官方网站使用账户恢复功能。这可能需要数天，且不保证成功——这也是现在就生成备份码而非日后再说的另一个理由。

保持恢复信息最新。 确认恢复邮箱和电话号码仍是您所控制的。被重新分配给他人的旧号码，可能成为陌生人重置您密码的途径。建议每半年检查一次这三项：备份码存放位置、恢复邮箱、恢复电话。搬家、换号、换邮箱之后立即更新，比事后补救省事得多。

应避免的常见错误

仅依赖短信

短信验证码聊胜于无，但 SIM 卡交换攻击可以把你的短信重定向到犯罪分子的手机上——攻击者只需联系运营商，谎称补办 SIM 卡，就能接收你的验证码。此外，部分运营商的客服流程存在身份核验漏洞，使得这种攻击的成本比想象中低。在可能的情况下，请使用身份验证器应用或通行密钥（passkey）作为主要的第二重验证因素。

批准非本人触发的推送请求

如果你的手机收到一条并非由你发起的登录请求，说明有人已经掌握了你的密码。拒绝该请求，立即更改密码，并检查近期的账户活动。切勿只是为了关掉通知而点击“批准”——攻击者正是利用这种方式来消磨受害者的意志，他们常常在深夜连续发送请求，直到有人手滑点错为止。

换手机时遗忘 2FA

身份验证器应用不会随普通备份自动迁移。在淘汰旧手机之前，请使用应用的导出或迁移功能转移账户，或在新设备上手动重新绑定。务必趁旧手机还能正常使用时操作——事后若无恢复码，往往为时已晚。换机前还应清点绑定了哪些网站，逐个确认新设备能正常生成验证码后再重置旧手机。

进阶：通行密钥与安全密钥

通行密钥以存储在设备上的加密登录凭据取代手动输入的验证码。使用更快，并能抵御网络钓鱼。各平台均支持：

• **Google：**myaccount.google.com → 安全性 → 通行密钥。
• **Microsoft：**account.microsoft.com → 安全性 → 高级安全选项 → 添加通行密钥。
• **Apple：**设置 → 你的姓名 → 登录与安全 → 通行密钥。

创建通行密钥时，设备会要求你用指纹、面容或屏幕锁密码确认身份。密钥绑定在特定设备与平台组合上，因此建议在你的手机和电脑上分别创建一个，避免单点故障。注意：通行密钥通常不会随普通云备份完整同步，换新手机前请先确认平台是否支持密钥迁移，否则可能被锁定。

当账户确实具有高价值时，值得购买硬件安全密钥：例如它是你的主要电子邮箱，或你用于管理、财务或敏感的工作账户。安全密钥可抵御网络钓鱼，即使手机丢失也能正常使用。Apple 要求注册两把密钥；Google 的高级保护计划也是如此。购买时注意接口匹配：USB-C、USB-A 或 NFC，并确认密钥支持你账户要求的协议（如 FIDO2）。把两把密钥分开存放，一把随身，一把放家里，防止同时丢失。

每隔几个月，请检查你的设置：

• 确认恢复邮箱和手机号码为最新。
• 移除不再使用的设备和会话。
• 如已使用过备份代码，请重新打印。

今天就使用应用设置双重验证（2FA），待熟悉后添加通行密钥，并将恢复代码保存在离线处。这才是妥善的账户安全。