浏览器自带密码管理，为什么劝你别再用？

你有没有过这样的时刻——打开某个网站，正准备登录，浏览器贴心地弹出一个提示：“是否保存此密码？”你随手点了“保存”，然后继续浏览下一个页面。这个动作太自然了，自然到你几乎不会去想：这些密码，到底被存在了哪里？

大多数现代浏览器都内置了密码管理功能，让你在访问不同网站时，能自动保存和填充登录信息。Chrome里的Google密码管理器，Firefox、Brave、Edge里的同类工具，确实让“用更复杂的密码”这件事变得简单了一些。但简单，不等于安全。更准确地说，是“方便”和“安全”之间，隔着几道你未必意识到的坎。

今天想跟你聊聊，为什么建议你把密码从浏览器里搬出来，放到一个专门的密码管理器里。

一、跨设备登录，远没有你想的那么顺滑

如果你只用一台电脑、一个浏览器，那浏览器自带的密码填充确实够用。但现实是，很多人会在Chrome里存一部分密码，在Edge里又存一部分，手机上可能还开着Safari。到了真正要登录的时候，你才发现：密码存在这个浏览器里，但你现在打开的是另一个。

如果你用多个浏览器，或者想在iPhone、PC上的应用里登录账号，就得手动把密码从浏览器里复制粘贴过去。这个过程，既麻烦，又不太安全——复制到剪贴板里的密码，可能被其他应用读取，也可能在你粘贴的时候被旁人看到。

Android用户的情况稍好一些，Google密码管理器可以同步到设备上，跨浏览器和App使用。但如果你是iPhone用户，或者电脑上装了不止一个浏览器，这个“方便”就打了折扣。

二、默认设置下，你的密码并没有被“锁死”

从加密技术上看，浏览器密码管理的基础安全是过关的。Google用的是AES加密，传输和存储过程中都有保护，和很多专业密码管理器用的是同一套标准。你还可以开启生物识别，用指纹或人脸来解锁自动填充。

但问题在于：这些安全措施，默认情况下并没有全部打开。

Google密码管理器默认不是“零知识”架构——也就是说，除非你手动开启设备端加密，否则Google是掌握你的加密密钥的。只有当你主动开启“设备端加密”，你的密码库才能做到只能在你自己的设备上、由你自己解锁。

Firefox的情况类似。它用AES-256加密，也有一个“主密码”功能来保护存储的数据。但如果你不设置这个主密码，任何能接触到你的电脑或浏览器配置文件的人，都可以直接查看你保存的所有密码。

换句话说，安全锁是有的，但钥匙默认插在锁孔上。要不要拧一下，取决于你有没有主动去设置。

三、一个账号被攻破，所有密码跟着沦陷

比加密更值得担心的，是密码存储的位置本身。

正如Wired指出的那样，真正的问题不在于加密强度，而在于你把密码存在了一个“高价值账户”里——这个账户一旦被盯上，风险就成倍放大。无论是有人拿到了你的设备，还是通过钓鱼、撞库等方式试图攻破你的Google账号，只要这个“总钥匙”失守，你存在里面的所有密码都会跟着暴露。

这就是所谓的“单点故障”。一个点破了，全线崩溃。

你可能会想：我的Google账号有双重验证，应该没事吧？但别忘了，钓鱼攻击针对的恰恰就是这种心理。一个伪装成Google登录页的链接，就能让你在不知不觉中交出账号和密码。而一旦对方进入你的Google账户，浏览器里存着的所有网站密码，就都成了“自助餐”。

四、浏览器密码管理器，功能太单一

浏览器自带的密码管理，本质上只做一件事：存密码，填密码。仅此而已。

而一个专业的密码管理器能做什么？它能生成高强度随机密码，能帮你检测哪些密码已经泄露，能在不同设备间无缝同步，还能安全地存储其他敏感信息，比如银行卡号、Wi-Fi密码、护照信息等。

更重要的是，专业密码管理器通常采用“零知识”架构——你的密码库在上传到云端之前就已经加密，服务商自己都看不到你的密码内容。这意味着，即使服务商的服务器被攻破，攻击者拿到的也只是一堆无法解密的乱码。

浏览器厂商当然也在改进，但它们的核心业务是浏览器，密码管理只是附属功能。而专业密码管理器的核心业务就是保护你的密码，这是它们存在的唯一理由。

五、你愿意把家里所有钥匙，都挂在一个挂钩上吗？

想象一下：你家的所有钥匙——大门、卧室、保险箱、办公室——都串在一个钥匙环上，然后把这个钥匙环挂在门口最显眼的位置。方便吗？确实方便。出门时随手一拿就行。但风险呢？任何人路过，都能顺手牵羊，然后你家所有门都对他敞开。

浏览器密码管理器就是这个“门口的钥匙环”。它把便利性放在了第一位，但安全性需要你自己额外加锁。而专业密码管理器，更像是把钥匙放在一个需要多重验证才能打开的保险箱里——虽然多了一步操作，但你知道，你的钥匙是真正被锁住的。

如果你还在用浏览器保存密码，现在就是一个好时机，去考虑换一个专门的密码管理器。很多主流密码管理器都有免费版本，足够个人使用。迁移过程也不复杂：花一个下午，把所有密码从浏览器导出，再导入到新的管理器里，然后逐个网站改密码——尤其是那些重要的账号，比如邮箱、网银、社交媒体。

改密码这件事，确实麻烦。但比起某天发现自己的账号被盗、所有个人信息被翻了个底朝天，这点麻烦，真的不算什么。

你的密码，是你数字生活的钥匙。别把它们随便挂在门口。