「密码要每三个月换一次」这句职场老话，来源是早期的安全合规惯例。过去几年，最有分量的官方口径先后两次松动了它，方向不是「换得越勤越安全」，而是「先把它换得足够长，然后别乱换」。
标准的两次转向，各改了什么
第一转向发生在 2020 年 3 月定稿的美国国家标准与技术研究院特别出版物 800-63B。这份面向联邦系统的数字身份指南明确：验证方不应要求用户定期更换口令，也不应强制大小写数字符号的复杂度组合；它同时保留了另一半——当出现口令可能泄露的证据时，应当要求更换。NIST 官方问答里对此有直接表述：定期改密不再被推荐，但数据库泄露、异常活动这类迹象出现时必须改。
第二转向是 2025 年 7 月定稿的 800-63B-4，取代 2020 版，把上面精神用更硬的措辞写进条款：作为单因素使用的口令，最短 15 个字符；只作为多因素之一时可放宽，但也不短于 8 个；系统应至少接受 64 个字符的上限；可打印的英文字母、数字、符号与空格都应接受；不应强制定期更换。这套标准约束的是美国联邦信息系统，商业平台可以参考而非必须照办，但它是目前最常被引用的口径来源。
为什么定期改密被请下神坛
旧逻辑赌的是「密码正在被悄悄偷看」。问题是规律轮换带来两个可预料的副作用：人在被强迫换密时倾向于最小改动——加一位数字、换个季节后缀，攻击者对这类模式很熟；而现代离线破解的条件（泄露的哈希库加廉价算力）决定了长度与随机性远比新鲜度有用——一个用了五年没泄露的长口令，胜过每周重排一遍的短口令。于是标准把资源从「换的频率」挪到了「长度与唯一性」上：够长、每个站点各用各的、别走样的复用，这是三件正事。
它没有说的三件事，最容易被误读
顺带把「够长」落到操作上。标准附录里对口令强度的度量走的是熵与黑名单过滤这条线，落到人手写出来的东西，最省心的形态是长短语：挑一句只有你在用的话，四五个词连起来，中间用空格或你偏好的符号隔开，长度自然越过 15 甚至 20 个字符，还不需要记「第三个符号是什么」。长度买的是抗暴力枚举的余量，唯一性买的是「一站泄露、不连环失守」，这两样都不是靠季度日历能补出来的。
其一，「不用定期换」不等于「泄露了也别换」。标准原文保留了出现泄露证据必须更换的义务；平台公告撞库、邮件收到安全提醒、注册邮箱出现在泄露通报里，都算证据。其二，这套口径针对的是登录口令，不涵盖助记词与私钥——它们没有定期更换机制，换的是备份介质与保管方式。其三，联邦指南里的责任主体是系统运营方，「平台不让我定期改密」本身不是该平台不安全的证据。
加密资产账户：什么时机真正该改
把改密从日历事件变回事件驱动，四类时机值得立刻动手：其一，平台承认数据异常，或你收到疑似撞库后的连环验证邮件——注意这里的顺序是先从官方入口登录核实，再改密，不要经由邮件里的按钮进入流程；其二，发现自己复用的密码在别的站点泄露过，此时这个密码在任何未泄露站点上也应视为已泄露；其三，把密码输入过来路不明的页面、或口头念给过任何”核实流程”之后；其四，账号出现无法解释的登录记录、设置变更或陌生设备。每次改完的收尾动作固定三条：确认邮箱里收到的是「改密成功」通知而不是钓鱼仿版，清掉不认识的登录设备会话，顺手核对恢复邮箱与二次验证状态还在自己手里。剩下的日子，让那个又长又没人知道的口令安静待着就好。
风险提示
本文标准口径以 NIST 2020 与 2025 年定稿文本为准，各平台实现不一；文中内容仅为安全防护与操作建议，不构成投资建议。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。