G够VPS

两步验证：商家后台也要开 2FA

服务器加固了，商家后台呢？小够手把手教你给 VPS 商家后台和邮箱开两步验证，附恢复码保管方法、丢手机自救流程和常见坑。

我是小够。上一篇讲了给 VPS 立防火墙，今天讲另一道门：商家后台。

很多人把服务器加固得严严实实，商家后台却只用一个用了五年的弱密码。想想看，商家后台能干什么：重装你的系统、改 root 密码、看账单、删机器、换 IP。黑掉你的服务器最多拿下一台机器，黑掉你的商家后台，你名下所有机器一锅端。所以结论很直接：商家后台的 2FA，比服务器本身的加固更优先。

2FA 是什么，一句话讲明白

Two-Factor Authentication，两步验证。登录时除了密码，还要再输入一个 30 秒一变的 6 位数字码。这个码由你手机上的验证器 App 按时间算出来，服务器那边用同一个密钥验算，对上才放行。密码泄露了，对方没有你的手机，照样进不去。

常见的验证器 App：Google Authenticator、Authy、微软 Authenticator，或者 1Password / Bitwarden 这类密码管理器自带的 TOTP 功能。用哪个都行，关键是现在就开，别拖。

开通步骤（各家大同小异）

以主流商家后台为例，流程基本都是：

  1. 登录商家后台，找到「安全设置」「账户安全」或「Two-Factor Authentication」。
  2. 点启用，页面会弹出一个二维码。
  3. 打开手机验证器 App，扫码，App 里立刻会出现一个 6 位数字，每 30 秒变一次。
  4. 把当前显示的数字填回网页，点验证，通过即绑定成功。
  5. 这一步最重要：页面会给你一组恢复码（recovery codes），抄下来，存到纸上，放到你找得到的地方。

整个流程五分钟。Vultr、DigitalOcean、Linode 这些大厂云的后台都支持 2FA，据公开资料整理，位置一般在账户安全设置里。一些小商家的自研后台可能没有 2FA 开关，没有的话也别慌，后面有替代方案。

别用短信验证码当 2FA

很多后台提供两种 2FA：验证器 App 和短信验证码。只选验证器 App，别选短信。 短信验证码会被 SIM 卡劫持：骗子拿着你的身份信息去营业厅补张卡，你的短信就全跑他那儿去了。这招在币圈已经坑过不少人，VPS 后台同理。能不用短信就不用，这是原则。

另外有些商家登录时还会发「异地登录提醒」邮件，别嫌烦，这是好东西。收到不是你操作的提醒，第一时间改密码、检查 2FA 是否还在。

各家后台的 2FA 藏在哪

据公开资料整理，常见商家后台的位置：

  • Vultr / DigitalOcean / Linode：登录后右上角账户 → Security / 安全设置，都有标准的 TOTP 两步验证开关。
  • 搬瓦工（BandwagonHost）：Client Area 账户安全里有 2FA 选项，扫码绑定即可。
  • 小商家自研后台：位置不固定，有的在「个人资料」，有的在「安全中心」，找不到就开工单问客服。

不管在哪，认准三个标志：二维码、6 位验证码、恢复码。缺了恢复码那一步的 2FA，等于没给你留后门，绑定前先确认。

密码管理器：2FA 的好搭档

前面说密码交给密码管理器，这里展开一下怎么选：

  • Bitwarden：开源免费，个人用完全够，浏览器插件加手机 App 全平台同步。
  • 1Password：付费，体验最好，全家桶用着省心。
  • 别用浏览器自带的「记住密码」当唯一方案，换电脑、重装系统，密码说没就没。

主密码（进密码管理器的那个）是所有密码的密码，设一个长的、只在脑子里存的。密码管理器本身也开 2FA，套娃但必要。

硬件密钥：可选的顶配

如果你管着好几台生产机器，或者洁癖式安全，可以上硬件密钥（比如 YubiKey）：登录时插一下、碰一下，比 6 位数字更防钓鱼。缺点是得花钱买、丢了也得靠恢复码。对普通人，验证器 App 加恢复码已经够用了，硬件密钥是「有了更好」，不是「必须」。

找人代运维时的注意事项

有些人图省事，把商家后台账号密码直接发给代运维的。开了 2FA 之后，代运维每次登录都要找你要验证码，反而成了天然的安全阀。正确姿势：

  1. 别直接给后台账号，能给机器 SSH 密钥就给 SSH。
  2. 非给不可的，开完工单就改密码、检查登录记录。
  3. 合作结束，第一时间改密码、换恢复码、检查 API 令牌有没有被建。

恢复码：丢手机时的救命绳

开 2FA 的人最后栽跟头，十个有九个栽在恢复码上。手机丢了、换手机没迁移验证器、App 误删，都会让你连自己的后台都进不去。这时候恢复码就是唯一的钥匙，一组 8 到 10 个一次性代码，用一个废一个。

小够的保管方法：

  • 纸质抄一份，放家里固定位置。别只存手机备忘录，手机和验证器一起丢的时候，备忘录也一起没了。
  • 别截图存网盘：网盘被盗等于恢复码白给。纸质最土，但最有效。
  • 换手机之前，先在新手机上装好验证器、扫码迁移，或者先用恢复码进后台解绑再重绑。别等旧手机开不了机了才想起来。

真到了恢复码也丢的地步，就只能走商家的人工身份验证：提交注册邮箱、付款记录、身份证件，折腾几天，商家才会给你解绑。这个流程各家都有，但又慢又麻烦，不到万不得已别走。

邮箱也要开，邮箱是万能钥匙

商家后台支持「邮箱重置密码」，那你的邮箱就成了所有账户的万能钥匙。邮箱没开 2FA，等于商家后台的 2FA 白开一半。Gmail、Outlook、QQ 邮箱、163 邮箱都支持两步验证，去邮箱的安全设置里打开，验证器 App 同一个就行，多扫个码的事。

密码本身也别凑合

2FA 是第二道锁，第一道锁（密码）也不能是纸糊的：

  • 每个商家用不同的密码，别一个密码走天下。一个小商家数据库泄露，你所有后台跟着遭殃。
  • 密码交给密码管理器记（Bitwarden 有免费版，1Password 也行），人脑只记一个主密码。
  • 别用生日、手机号、商家名加 123 这类组合，撞库脚本第一个试的就是这些。

商家后台没有 2FA 开关怎么办

有些小商家的自研后台确实没做 2FA，那就把能做的做到位：强唯一密码、邮箱开 2FA、付款用 PayPal 或信用卡（有争议处理渠道）。另外买之前可以开一封工单问客服有没有 2FA 计划，客服的回复速度和态度，本身也是判断商家靠不靠谱的参考。实在不放心，重要业务别放没有 2FA 的小商家后台，这是底线思维。

常见坑：这三件事别做

  1. 二维码截图存手机相册：二维码就是密钥本身，截图等于把钥匙拍照发朋友圈。扫完就关掉页面，别留。
  2. 只绑一个设备：验证器 App 一般支持导出迁移，换手机前先迁。Authy 这类支持多设备同步的，丢手机后在新设备登录还能找回来（前提是你还记得它的备份密码）。
  3. 帮别人代开 2FA：给客户、朋友的后台开 2FA 绑在自己手机上，分手的时候扯皮没完。要么让对方自己绑，要么用完就解绑。

小够的检查清单

对照着过一遍，全打勾才算完工：

  • 常用商家后台开了 2FA，恢复码纸质存好
  • 注册邮箱开了 2FA
  • 每个商家密码唯一，存在密码管理器里
  • 验证器 App 换手机前先迁移
  • 知道商家人工解绑 2FA 的流程在哪（以防万一）
  • 浏览器没保存商家后台密码（密码只活在密码管理器里）

服务器防火墙加商家后台 2FA，这两道门立起来，你的 VPS 安全就及格了。剩下的就是定期更新系统、勤备份，都是顺手的事。安全这东西，拼的不是技术，是有没有把这五分钟花下去。

对了，如果你还没看上一篇，UFW 防火墙：三条命令就够用，两篇连着看，服务器和后台的门就都锁好了。安全配置一次，受用好几年。