一人公司有几十甚至上百个账号密码——邮箱、银行、电商平台、AI 工具、SaaS、社交媒体…很多人为了好记，所有账号用同一个密码。这是定时炸弹——一个平台泄露，你所有账号沦陷。

这篇拆解为什么必须用密码管理器、1Password 和 Bitwarden 怎么选、怎么从混乱迁移到规范。

先理解：为什么不能「密码记脑子里「

密码泄露的常见路径

1. 平台泄露：你注册的小网站被黑，密码泄露（最常见）
2. 撞库攻击：黑客拿泄露的密码去试你的其他账号
3. 钓鱼网站：你被诱导输入密码
4. 公共 WiFi：不加密网络被监听
5. 中木马：电脑被装键盘记录器

「同一个密码「的灾难

假设你的密码是 「abc123456「
- 注册了 50 个网站，都用了这个密码
- 其中一个小网站被黑，密码泄露
- 黑客拿这个密码去试你的：
  - 支付宝/银行（钱没了）
  - 邮箱（所有账号可重置密码）
  - 公司账号（业务数据泄露）
- 一次泄露 = 全盘崩溃

关键认知：密码安全不是「好不好记「的问题，是「一个泄露会不会连累其他「的问题。

密码管理器的原理

密码管理器的核心：只记一个主密码，其他全部由工具生成和记忆。

你只需要记住：1 个主密码（很长很复杂）
密码管理器帮你：
- 为每个网站生成独立、强密码（如 Xk9#mP2$nQ7!）
- 加密存储所有密码（只有你能解密）
- 自动填充（不用手动输入）
- 跨设备同步（手机/电脑都能用）

密码管理器的安全模型

- 你的密码 → 用主密码加密 → 存在云端/本地
- 即使密码管理器公司被黑，黑客拿到的也是密文
- 只有你的主密码能解密
- 主密码不存在服务器上（公司也不知道）

关键认知：密码管理器的安全取决于你的主密码强度。主密码要长（20+ 字符）、独特（不在任何字典里）、好记（用口诀法）。

1Password vs Bitwarden 对比

市面上最主流的两款：

怎么选

✅ 选 1Password 如果你：
- 追求极致易用
- 不在乎付费（$36/年）
- 用 Mac（1Password 在 Mac 上体验最佳）
- 想给家人/团队用（家庭版划算）

✅ 选 Bitwarden 如果你：
- 预算敏感（免费版够用）
- 重视开源
- 有技术能力想自部署
- 团队版（便宜）

一人公司推荐：起步用 Bitwarden 免费版（够用），如果对体验要求高再升级 1Password。

从混乱到规范的迁移流程

如果你现在密码一团糟（同一个密码、记在便签、用浏览器记），按这个流程迁移：

第 1 步：选择并安装密码管理器

• 注册 Bitwarden 免费版 / 1Password 试用
• 装浏览器插件 + 手机 App

第 2 步：设置一个强主密码

主密码的要求：

• 至少 16-20 字符
• 不在字典里
• 你能记住

口诀法生成主密码：

取一句你只知道的句子首字母 + 数字符号：
「我2020年在合肥开了第一家一人公司「
→ w2020nhf kldyjyr gs
→ 加符号：w2020nHfklDyjYrGs!（更安全）

这是只有你懂的口诀，破解难度极高

⚠️ 主密码忘记 = 所有密码丢失。建议写在纸上锁抽屉，或用「恢复代码「功能（密码管理器提供的）。

第 3 步：批量改密码

逐个网站迁移：

- 打开网站登录页
- 用密码管理器「生成新密码「（16 位以上、含字母数字符号）
- 保存到密码管理器
- 之后这个网站都用密码管理器自动填充

优先迁移的账号（按重要性）：

1. 邮箱（最优先，邮箱被黑其他都能重置）
2. 银行/支付
3. 公司核心账号
4. 社交媒体
5. 其他

第 4 步：开启双因素认证（2FA）

即使密码泄露，有 2FA 也登不了。重要账号必须开：

- 邮箱：开 2FA（必须）
- 银行/支付：开 2FA（必须）
- Apple ID / Google 账号：开 2FA
- 社交账号：开 2FA
- 密码管理器本身：开 2FA（必须）

2FA 工具：

• Authy（推荐，跨设备）
• Google Authenticator
• 1Password / Bitwarden 自带

第 5 步：定期检查和更新

• 每季度用密码管理器的「安全审计「功能检查弱密码、重复密码
• 关注 Have I Been Pwned，看邮箱是否在泄露数据库
• 重要账号每 1-2 年换一次密码

团队/外包的密码管理

一人公司如果有外包、合伙人，密码共享是问题。

错误做法

❌ 把密码明文发微信/邮件
❌ 共用一个账号
❌ 写在共享文档里

正确做法

✅ 用密码管理器的「共享「功能
   - 1Password：共享保险库
   - Bitwarden：组织/共享文件夹
   
✅ 权限分级
   - 重要密码：你独享
   - 项目密码：共享给相关外包
   - 外包离开：立刻撤销权限

三个常见误区

误区一：「浏览器记密码就够了「

不安全。浏览器存的密码用电脑密码就能看——电脑中了木马或别人用了你电脑，所有密码泄露。密码管理器有主密码 + 加密双重保护。

误区二：「我的密码很复杂，不会被破解「

天真。即使 16 位混合密码，只要在多个网站用同一个，一次泄露就全完。密码安全的核心不是「单个密码多复杂「，是**「每个网站都不同「**。

误区三：「密码管理器被黑怎么办「

理解错了。密码管理器被黑，黑客拿到的是加密后的密文，没有你的主密码解不开。真正的风险是你主密码太弱或被钓鱼，不是密码管理器被黑。

其他安全习惯

除了密码管理，这些安全习惯也要养成：

✅ 不点陌生链接（防钓鱼）
✅ 不在不熟悉的电脑登录账号
✅ 公共 WiFi 用 VPN
✅ 定期更新操作系统和软件
✅ 重要数据备份（参考下一篇《文件备份策略》）
✅ 不下载来路不明的软件

结尾

密码管理看似小事，但一次泄露可能毁掉你的生意：

• 必用密码管理器：1Password 或 Bitwarden
• 主密码要强：口诀法生成，20+ 字符
• 重要账号开 2FA：邮箱、银行、公司账号
• 不共享密码：用工具的共享功能

最关键的认知：密码管理的本质是**「把记忆负担交给工具，把安全掌握在自己手里「**。你只需记住一个主密码，其他全部自动化——既安全又省心。

这篇对应的《一人公司起步工具包》里，有：

• 1Password / Bitwarden 配置教程
• 主密码生成指南（口诀法）
• 账号安全自查清单
• 团队密码共享模板

👉 文末资料卡可以直接领取。

最后互动：你现在用密码管理器吗？还是用同一个密码或浏览器记忆？评论区或在公众号留言告诉我，可以帮你规划迁移。

安全建议参考：NIST 密码指南、Have I Been Pwned。具体工具操作以官方文档为准。