邮箱两步验证：作用与开启方法

密码可能被猜到、被钓鱼骗走，或出现在泄露数据中。两步验证增加了一道独立的验证，仅知道密码不再足以登录。对于能够重置其他所有密码的邮箱账号来说，这是性价比最高的安全设置。

开启两步验证

1. 在网页邮箱中打开账号的安全设置。
2. 选择第二种验证方式：验证器应用、短信验证码，或支持时的硬件密钥。
3. 使用验证器应用时，扫描二维码并输入显示的六位验证码确认。
4. 离线保存恢复代码：存进密码管理器，或打印后放在安全处。手机丢失时靠它们找回账号。
5. 把日常使用的设备设为受信任设备，避免每次都要输入验证码。
6. 为无法显示验证码提示的软件（较旧的桌面客户端、部分手机应用）生成应用专用密码。
7. 退出并重新登录一次，确认整个流程可用，再正式依赖它。

如何选择方式

验证器应用：在本机生成验证码，可离线使用，也不受手机号被劫持影响。多数情况下这是合理的默认选择。

短信：方便，比没有强得多；但若号码被劫持则会被绕过。适合作为备用。

硬件密钥：需要插入或贴近的实体设备。最为可靠，并且几乎能抵御钓鱼，因为密钥同时校验网站的真实性。

发送到另一个邮箱：最弱的方式，只是把问题转移到另一个邮箱。

为什么需要应用专用密码

IMAP 与 SMTP 无法弹出验证码输入框。因此启用两步验证后，邮件软件会使用应用专用密码——一串仅供某个应用使用的长随机字符。请为每个应用分别生成，设备丢失时逐个吊销，账号主密码不受影响。

丢失第二重验证时

这正是恢复代码的用途。没有它们，一切取决于服务商的身份核验流程，而该流程有意设计得较慢。请在开启时就保存代码，而不是事后；条件允许时再注册一个第二重验证（例如在平板上也装验证器应用）。

常见问题

会拖慢日常使用吗？ 几乎不会。设置受信任设备后，只是偶尔需要输入验证码。

短信两步验证值得用吗？ 如果替代方案是完全不用，那当然值得。有条件时验证器应用更安全。

换手机怎么办？ 在重置旧手机前先迁移验证器数据，多数应用支持加密导出。

两步验证会被绕过吗？ 高水平的钓鱼可以实时转发验证码。硬件密钥可以防住这类攻击；此外，永远不要在通过链接打开的页面上输入验证码。

imail.com.tr 的两步验证

imail 网页邮箱支持带受信任设备的两步验证，并为邮件软件提供应用专用密码。刚创建账号的话，建议第一件事就是开启它。参见功能页面，或创建账号的步骤。