一、结论先给：12 位起步，重要账户更长

直接能上手的两条：

• 通用账户至少 12 位；
• 邮箱、银行、云同步这类"一旦被攻破等于全盘失守"的账户，位数要再往上加。

字符上尽量覆盖四类：大写字母、小写字母、数字、特殊符号。

二、为什么"长"不等于"强"：熵值怎么算

衡量密码强度的指标是熵值，单位 bit（比特）。公式很简单：

熵值 = 位数 × log₂(字符池大小)

字符池就是你允许出现的字符种类总数。同一个 8 位长度，池子不同，结果差一倍：

这也解释了为什么"位数多就是强"是个错觉：用生日、姓名拼音、连续数字拼出来的长串，字符池看起来很丰富，实际搜索空间被字典和撞库规则压缩到很小。真正决定强度的是随机性，不是长度本身。

三、人脑生成不出真随机，所以用生成器

自己"随便敲"的字符串，往往藏着规律：键盘上的相邻键位、常见的词根、重复的模式。可靠做法是交给随机密码生成器。用的时候注意三点：

1. 勾字符：至少勾上大写、小写、数字三类；重要账户四类全选。
2. 排混淆：需要手抄或手动输入的场景，开启"排除易混淆字符"，剔除 0/O、1/l 这类看错的字符。
3. 存起来：生成后放进密码管理器，每个网站用不同密码，绝不共用。

选工具的关键安全点只有一条：全程在浏览器本地生成、不联网、不上传、不记录。凡是要求注册、把生成的密码存到云端的，都不适合用来生成密码。

四、记不住怎么办：两个可行方案

方案一：密码管理器 + 一个主密码。你只需要记住一个足够强的主密码，其余全部托管。这是目前最省心的路径。

方案二：随机密码短语。把几个不相关的随机词加符号拼起来，长度换随机性，比硬记一串乱码现实得多。

最后补一句最容易被忽略的：密码再强，也挡不住"在假网站上主动输入"。所以重要账户务必开启两步验证——密码泄露时，它是最后一道防线。

总结成三句：12 位起步、16 位更稳、每一步都随机。别再拿生日和连续数字凑数。