密码多久更换一直有争议。现在主流建议是：不要盲目定期强制更换，而要依据账号价值、风险和是否泄露来决定。低风险账号只要密码强且唯一，可长期不换；高危账号（银行、工作、管理员）应更频繁更换并启用多因素认证。发现泄露或异常登录时必须立即更换。下面用案例、表格与步骤，帮你制定合适策略，并给出可执行清单。
先把问题拆开：为什么要更换密码？
用费曼法来说，先把最基本的想法讲清楚。密码的目的就是在“你”和“别人”之间建立一道门槛。如果密码被别人知道了，这道门槛就失效。更换密码，有两个直接目标：一是把可能已经泄露的旧密码作废；二是防止长期使用的弱口令被慢慢破解或猜到。
历史上的做法与逻辑
过去很多组织采用“90天换一次”“180天换一次”的策略，逻辑是：定期换能降低长期被破解或被泄露后长期滥用的风险。听起来合理，但其实忽略了成本与行为学——用户为了应付频繁更换往往写纸条、使用容易记的弱密码或在多个站点重复使用，这反而增加风险。
现代主流观点（客观事实）
近几年权威机构的结论比较一致：不要无理由地强制所有用户定期更换密码。代表性的有 NIST SP 800-63B（2017/2019 起广泛被引用）和多家大厂的安全建议。核心结论是：如果没有证据显示密码被泄露，就不应频繁强制更换；应把注意力放在密码强度、唯一性、多因素认证（MFA）和泄露检测上。
为什么改变策略？
- 行为代价高：频繁更换导致弱化密码或重复使用，降低安全性。
- 资源分配：安全团队和用户的精力用于处理真实风险更有效。
- 攻击模型变化：现在大量攻击来自被动收集（泄露数据库、钓鱼），而不是传统的暴力破解，及时检测和响应更关键。
实用建议：按风险分层的更换频率（可执行）
好的策略不是“一刀切”，而是基于风险分层。下面这个表把常见情景列出来，便于快速参考。
| 风险等级 | 推荐更换时机 | 示例账户 | 额外建议 |
| 低风险 | 发现泄露或弱化时更换；无需定期强制 | 论坛、新闻订阅、非敏感社交账号 | 确保密码强且唯一，使用密码管理器 |
| 中等风险 | 每6-12个月或在账户变动/怀疑时更换 | 电商、常用邮箱（非主邮箱）、个人服务 | 启用MFA，开启登录通知，使用复杂/长口令 |
| 高风险 | 每90天或在关键事件后立即更换 | 银行、主邮箱、工作账号、管理员账号 | 强制启用MFA，使用企业密码管理器与审计 |
| 服务/密钥类（非人类） | 按最小权限与自动轮换策略（通常短周期或基于密钥寿命） | API密钥、服务账号、自动化凭证 | 自动化轮换、短生命周期、监控使用模式 |
如何判断“泄露或被攻破”的迹象（何时必须立即更换）
- 服务方主动通知：平台告知你的账号可能被泄露或出现在泄露库中。
- 收到异常登录、密码已被重置的邮件或短信。
- 无法登录但能看到账户上发生未授权操作。
- 你在“Have I Been Pwned”类服务或媒体上看到相关泄露信息（注意：这是示例名）。
任何这些都应该触发立即更换并检查账号绑定的恢复方式（备份邮箱、手机号、授权设备）。
密码强度与构造：比频繁更换更重要
如果你问我“应该把更多精力放在哪儿？”，答案是：提升密码质量与使用正确的工具。
几个实用规则
- 长度优先于复杂度：选择短复杂组合不如一个长通顺的口令短语（passphrase）。建议个人密码至少16字符，工作/重要账号建议20字符以上或使用随机生成密码。
- 唯一性：每个重要账户都要独立密码，不在多个站点复用。
- 密码管理器：使用可靠的密码管理器来生成并保存高强度密码，避免记忆负担与写纸条。
- 多因素认证：总是启用MFA（优先使用物理密钥或TOTP，避免只用短信）。
轮换密码的标准流程（个人与企业通用）
这里给个一步步的可执行清单，按着做，少出错。
- 确认需要更换的账号与优先级。
- 准备新的强密码（用密码管理器随机生成或构造长口令短语）。
- 检查并更新关联的恢复方式（备份邮箱、手机号、授权设备）。
- 更换密码，记录在密码管理器，不留明文记录。
- 启用或确认MFA状态，并测试登录流程。
- 对重要服务（银行、邮箱）查看最近活动，必要时联系支持并冻结交易。
- 若怀疑大规模泄露，批量更换与通知关联方，并考虑更高级的响应（例如企业级审计）。
对企业的补充：如何制定策略
企业需要制度化：风险评估、分类、日志审计与应急响应。常见做法包括：
- 对管理员与关键岗位实施更频繁轮换与短口令寿命。
- 对服务账户实施自动化密钥轮换与最小权限原则。
- 启用单点登录（SSO）与企业身份管理，集中控制并审计。
- 实施强制MFA，并对高风险操作要求多重认证或审批。
常见误区与纠正
- 误区：“我每90天换一次就安全了。” 纠正：频繁但弱的更换比定期高质量更换更危险。
- 误区：“短信验证足够安全。” 纠正：短信易被SIM换绑和中间人攻击，优先使用更安全的MFA方式。
- 误区：“只要复杂就行。” 纠正：长度、唯一性与随机性更重要；人造复杂有时反而易被社会工程学利用。
几个真实的小例子（便于记忆）
举两个场景，边想边写，感觉更贴近生活：
- 场景一：你有一个不常用的论坛账号。你设置了随机生成的16位密码，保存在密码管理器里。没有泄露通知的话，完全没有必要每年去改它——除非你怀疑有泄露。
- 场景二：你是公司管理员，能访问关键数据库。这里不适合“长期不换”，应当结合MFA、短密钥生命周期与审计，必要时每90天或更短周期强制轮换，并保存在企业级密码保险库中。
可执行清单（打印黏贴用）
| 步骤 | 要点 |
| 评估风险 | 按账号价值与攻击后果分层（低/中/高） |
| 设定策略 | 低风险——不强制定期；中等——6-12个月；高——90天或更短 |
| 实施技术措施 | 启用MFA、使用密码管理器、检测泄露 |
| 响应流程 | 发现异常立刻更换并审计日志，通知相关方 |
最后，关于工具与检测
不要把所有希望都寄托在“定期更换”上。用密码管理器、开启安全通知、用MFA、并定期检查是否出现在泄露列表里，这些组合拳比机械式更换更有效。企业要把重点放在身份生命周期管理、审计与最小权限上。嗯，好像说了很多，但核心就两句话：分层决策和及时响应。
如果你现在想要一步到位的行动计划：先为重要账号启用MFA，导入密码管理器并为关键账号生成新密码；然后根据上面的表格给账号打个等级，按等级设定更换触发条件；最后，把“发现泄露就马上换”作为硬性规则放在显眼位置。行了，就这样，边写边想的感觉，希望对你有用。