如果你在问密码应该多久换一次，先给一个结论：对大多数普通用户来说，密码不需要按 30 天或 90 天机械轮换；真正重要的是在高风险事件发生后立刻换。 NIST 现在更强调“出现泄露、怀疑被盗、使用弱口令或复用密码时及时更换”，而不是逼用户频繁改一个最后只会越改越敷衍的密码。［1］ CISA 也强调强、长、唯一和启用多重验证，比“定期换”更关键。［2］

如果这更像是个人暴露面的一个症状，可以用这篇数字隐私保护指南把账号、标识符、设备和数据经纪人逐项排查。

换句话说，密码管理的重点不是“换得勤”，而是“该换时别拖、换的时候别再犯老问题”。

如果你已经在用密码管理器，也可以把这篇和密码管理器安全吗？安全，但前提是你别把它当万能保险箱一起看。

关键要点

机械定期改密码，已经不是最优先的通用建议。［1］

真正该换密码的时刻，通常是泄露、复用、弱口令、设备失守或共享关系结束。

最该优先更换的，往往不是所有账号，而是邮箱、银行、云盘和工作账户这类“能重置别人的账号”的核心入口。

换密码时如果还沿用旧模式，比如只改尾号、只换一个字符，安全收益会很有限。

开启多重验证和使用密码管理器，通常比盲目高频改密码更有效。［2］［3］

为什么现在不再强调“所有密码都定期换”？

因为这种做法常把人推向两个结果：

把新密码改成旧密码的变体；
到处重复使用差不多的一套密码。

NIST 在数字身份指南里明确反对无依据的强制定期更换，除非有泄露证据或账号已经受到威胁。［1］这背后的逻辑很现实：如果没有风险信号，频繁轮换只会增加记忆负担，未必能换来更强的账户安全。

真正该换密码的 5 种时刻

1. 你知道这个账号已经泄露，或大概率泄露过

这是最明确、也最不该拖的情况。如果某个平台通知你发生数据泄露，或者你在泄露查询服务里查到自己的邮箱出现在已知事件里，就应该立刻改这个账号的密码，并检查有没有复用到别处。［4］

2. 你在多个网站复用了同一套密码

这类风险常被低估。一个低价值网站出事，不代表损失只停在那个网站；如果你把同一套密码也拿去登邮箱、购物站或社交媒体，攻击者可能会直接做撞库尝试。［2］［4］

3. 你的密码本身就很弱

弱口令不一定只有 123456 这种极端例子。如果你的密码很短、带明显个人信息，或者只是“常用单词+年份”，也该尽快换。 NIST 和 CISA 都更强调长度和唯一性，而不是只看大小写和符号花样。［1］［2］

4. 你的设备、浏览器或账号出现被入侵迹象

比如：

设备中毒；
浏览器扩展异常；
收到陌生登录提醒；
你点过钓鱼链接并输入过账号密码。

这时不要只改一个站点。如果核心邮箱、密码管理器或工作账号也在同一设备上使用过，应该把它们一起纳入更换范围。

5. 你曾经把密码共享给别人，而这个共享关系已经结束

这在流媒体、家庭云盘、共享工具和项目协作里都很常见。只要某个密码不再只属于你自己，就要默认它的可控性已经下降。关系结束、成员离开、外包收尾之后，都该尽快换掉。

密码该按什么顺序换，才不会手忙脚乱？

我更建议按“被拿下后的连带伤害”排序：

优先级	先换哪些账号	为什么
最高	主邮箱、密码管理器、Apple ID / Google 账号	这些账号往往能重置其他服务
高	银行、支付、证券、云盘、工作协作工具	直接关系到资金和重要文件
中	社交媒体、购物、论坛	可能被冒用、撞库或社工扩散
后续	低频使用的网站	风险相对低，但有复用就仍要处理

如果你还没建立“核心账号先保”的思路，也可以一起看怎么保护邮箱安全？这 7 个设置比换邮箱更重要。

换密码时，最常见的 4 个无效动作

只改最后一位数字；
把旧密码加个感叹号继续用；
几个重要网站共用同一个“升级版新密码”；
换了密码，却没开多重验证。

这些做法最大的问题，不是“技术上完全没用”，而是攻击者很可能会优先尝试这种常见变体。所以你每次换密码，都应该顺手检查三件事：

是否唯一；
是否足够长；
是否已经启用 MFA。［1］［2］［3］

我的建议：把“发现泄露后 15 分钟动作”固定下来

如果你收到泄露通知，或者怀疑密码刚刚在钓鱼页里输过，最稳的顺序通常是：

先改主邮箱密码；
再改密码管理器和云账号；
给高价值服务换成唯一新密码；
打开或补上 MFA；
查看最近登录记录和陌生设备。

这套顺序比“先把几十个小网站一起改掉”更有效，因为它优先守住能牵一发动全身的入口。

总结

密码应该多久换一次，更准确的答案是：不用机械高频换，但在高风险事件发生后要立刻换。［1］［2］
真正高优先级的触发点是泄露、复用、弱口令、设备失守和共享结束。
最该先换的是主邮箱、密码管理器和能重置其他账号的核心账户。
只改一个字符、继续复用、不开 MFA，会让换密码这件事大幅贬值。

常见问题（FAQ）

密码一定要每 90 天换一次吗？

不一定。NIST 不再把无依据的周期性轮换视为默认最佳做法。［1］

收到平台泄露通知后，我应该先换哪个？

先换主邮箱和所有复用了同一密码的重要账号，再处理其他站点。

只是把旧密码改个尾号，算换密码吗？

技术上算，但安全收益通常很有限，因为这类变体很常见。

开了双重验证，还需要换密码吗？

需要。2FA 是补强，不是替代；密码一旦泄露，仍然应该更换。［2］［3］

如果我用密码管理器，是不是就不用再想换密码时机了？

不是。密码管理器能帮你更快换成唯一强密码，但风险触发点仍然要自己判断。

哪类账号最不该拖着不换？

邮箱、密码管理器、金融账户、工作协作工具和云盘。

免责声明

本文仅供一般账号安全教育参考，不构成对任何具体身份系统、企业密码策略或合规制度的强制建议。

AethoVPN 发布《密码应该多久换一次别再机械定期改，先抓这 5 种真正该换的时刻》；VPN 不能替代相关核验。

来源

NIST, Digital Identity Guidelines SP 800-63B: https://pages.nist.gov/800-63-4/sp800-63b.html
CISA, Use Strong Passwords: https://www.cisa.gov/secure-our-world/use-strong-passwords
CISA, Implementing Phishing-Resistant MFA: https://www.cisa.gov/resources-tools/resources/implementing-phishing-resistant-mfa
Have I Been Pwned: Check if your email address has been exposed in a data breach: https://haveibeenpwned.com/

Sources checked 2026 年 5 月 8 日。

延伸阅读：

密码应该多久换一次？别再机械定期改，先抓这 5 种真正该换的时刻