两步验证与登录保护：纸飞机账号设置全解

账号被人登录，多数时候不是因为密码太复杂被人猜到，而是整条登录流程只靠一条短信验证码把关。验证码一旦被转发、被旁人看到、被冒充客服的人套走，账号就等于交出去了。两步验证的作用很简单：在验证码之外再加一道独立密码，少了这一步，别人拿到验证码也进不去。下面按顺序把开启、绑定、保管和检查这四件事讲完，整套做下来大约十分钟。

为什么要开两步验证

日常登录纸飞机有两种凭证：手机号收到的验证码，以及账号本身的密码。很多人从来没用过密码，登录全靠验证码，这条链路只有一个环节，任何一环出问题都会直接失守。两步验证把“知道的东西”叠在“收到的验证码”之上，形成两个独立条件。

实际风险主要来自三个方向。一是手机不在身边时，验证码会显示在锁屏通知里，旁边的人扫一眼就记住了；二是手机号注销或补卡过程中，号码可能被他人重新持有；三是社交工程，有人以“帮你解封”“核对账号”为由索要验证码。这三种情况里，短信验证码都不再可靠，而两步验证的独立密码不在短信里传递，不会随之泄露。

另一个容易被忽略的好处是，开启两步验证之后，其他人无法用你的手机号在新的设备上完成登录，账号的入口因此收窄到你自己持有的设备。

开启两步验证的步骤

入口在客户端的账号设置里，手机端和电脑端的位置基本对应。按下面顺序操作即可：

1. 打开客户端，进入设置，找到隐私与安全一栏。
2. 点击两步验证（部分版本显示为“二步验证”），进入设置向导。
3. 输入一个与登录验证码完全不同的独立密码，长度建议 10 位以上，包含字母与数字。
4. 按提示确认密码，随后系统会要求绑定一个恢复邮箱，这一步不要跳过。
5. 设置完成后立即退出账号重新登录一次，验证是否真正生效。

密码不要复用其他网站的登录密码，也不要用生日、手机号后六位这类可以查到的信息。如果担心记不住，交给密码管理器保存，而不是写在聊天记录里发给自己。

绑定恢复邮箱

恢复邮箱是整个流程里唯一的退路。设置两步验证时如果不填邮箱，账号一旦忘记密码，就只能等一段时间后重置，期间无法正常登录。

建议使用一个长期在用、能正常收信的邮箱，而不是临时注册的地址。绑定之后，去邮箱里确认能否收到来自纸飞机的验证邮件，有的邮箱会把这类邮件归入垃圾箱，需要提前把发件域名加入白名单。企业邮箱如果由管理员统一过滤，也可能拦下这类邮件，最好换一个个人邮箱。

邮箱本身也要做保护：开启邮箱的两步验证，设置独立密码。否则攻击者绕过纸飞机，直接去攻邮箱，一样能拿到找回权限。

恢复码怎么保管

设置完成后，客户端会给出一组一次性使用的恢复码。它的用途是：邮箱也进不去时，用其中一条恢复码登录并重新设置。

• 离线保存。抄在纸上放进抽屉，或存进本地笔记应用，不要只截图留在相册里。
• 不要发给自己。通过聊天工具发一遍“备份”，等于把恢复码放进了可能被登录的账号里。
• 每条只用一次。用过一条就划掉，避免以后分不清哪些还有效。
• 定期核对。每半年检查一次存放位置是否还能找到，换电脑时同步迁移。

如果恢复码已经全部用完或丢失，而邮箱也无法访问，只能走账号重置流程等待期。这个过程没有捷径，所以恢复码宁可多存一处，也不要图省事只存在脑子里。

检查已登录设备

两步验证管住“新设备能不能进”，已登录设备列表管住“已经进来的要不要留”。建议每月看一次，换电脑、换手机之后更要马上看。

列表里的情况	判断	处理
自己正在用的手机、电脑	正常	保留
已卖掉或已报废的旧设备	异常	立即退出登录
公共电脑、借用过的设备	异常	立即退出登录
不认识的系统或地区	高度可疑	退出并修改两步验证密码

列表通常能看到设备类型、系统名称和最近活跃时间。对着时间回忆一下当时自己在用哪台机器，对不上的就要警惕。退出之后，那台设备需要重新输入验证码才能登录，两步验证会再拦一次。

遇到异常登录怎么处理

发现陌生设备、收到不是自己操作的登录提醒，或者好友反馈收到你账号发出的奇怪消息时，按下面的顺序处理，不要慌着一个个删聊天记录。

1. 先进入已登录设备列表，把所有非本人设备全部退出。
2. 修改两步验证密码，并确认恢复邮箱没有被改过。
3. 检查账号绑定的手机号是否仍是你自己的号码。
4. 如果无法登录，用恢复邮箱或恢复码走找回流程，再重复前三步。
5. 通知常联系的人，说明账号可能被登录过，遇到借钱、要验证码的消息一律不理。

处理完之后观察几天。如果仍然反复出现陌生登录，说明泄露渠道还在，需要排查是不是在不明页面输入过验证码，或者手机上有来源不明的应用在读取短信。

三个常见误区

网上流传的说法里有几条容易误导人，单独列出来：

• “验证码发给对方核对一下就没事”。验证码本身就是登录凭证，发给任何人都等于把钥匙递出去。任何索要验证码的理由都不成立。
• “多设备同时登录更保险，出问题还有备用”。多设备登录只是方便，不是保险。设备越多，暴露面越大，旧设备该退就退。
• “开了两步验证就不用管了”。恢复邮箱失效、恢复码丢失、设备列表不清，这三件事任何一件出问题，保护都会打折。设置只是起点，定期检查才是关键。

把这套流程走完，账号的入口就基本收拢了：新设备需要验证码加独立密码，找回需要邮箱或恢复码，已登录设备随时可以清理。剩下的就是养成习惯，换机、借电脑、收到可疑消息时，回来看一眼设备列表。