账号被盗不只是 VPS 数据受损，更可能导致账单信息泄露甚至资金损失。开启两步验证（2FA）是保护搬瓦工账号最有效的手段之一，整个设置过程不超过 5 分钟。本文带你一步步完成，并给出防钓鱼的实用建议。
本文要点
- 搬瓦工账号密码的设置建议
- 如何绑定 Google Authenticator 开启两步验证
- 两步验证失效时的应急处理
- 识别钓鱼网站、防止账号被骗
为什么账号安全很重要
搬瓦工账号里绑定了支付方式、VPS 访问权限，一旦被盗：
- 攻击者可以重装 VPS 系统、清除你的数据
- 可能利用账号的付款方式进行消费
- VPS 可能被用于发送垃圾信息，导致你的 IP 被封锁甚至账号被终止
- 个人信息（姓名、邮箱、账单地址）可能被用于其他诈骗
设置强密码
密码是第一道防线，建议遵循：
| 要求 | 说明 |
|---|---|
| 长度 | 至少 16 位 |
| 字符类型 | 大写字母 + 小写字母 + 数字 + 符号 |
| 唯一性 | 搬瓦工账号专用密码，不与其他网站共用 |
| 管理 | 用密码管理器（Bitwarden、1Password 等）保存 |
开启两步验证（2FA）
搬瓦工支持基于 TOTP 的两步验证，推荐使用 Google Authenticator 或 Aegis Authenticator。
准备工作
- 手机安装 Google Authenticator（iOS/Android 均可）
- 备用：Aegis Authenticator（开源，支持备份）
- 记录备用恢复码，存放在密码管理器中
绑定步骤
- 登录搬瓦工后台，进入 Account Details → Security Settings
- 找到 Two-Factor Authentication 并点击 Enable
- 用 Google Authenticator 扫描页面上的二维码
- 输入 App 生成的 6 位动态验证码，点击 Confirm
- 保存页面提供的备用恢复码（Recovery Codes），存放到安全位置
备用恢复码务必保存
如果丢失手机或 2FA 设备，备用恢复码是唯一的找回途径。请将其打印或存入密码管理器，切勿只保存在手机里。
每次登录时使用 2FA
开启后，登录搬瓦工时需要依次：
- 输入邮箱和密码
- 打开 Google Authenticator，查看搬瓦工条目下的 6 位动态码
- 在验证页面输入该动态码（每 30 秒刷新一次，注意时效）
- 登录成功
2FA 失效时的应急处理
- 手机丢失：用备用恢复码登录，登录后重新绑定新设备的 2FA
- 时间不同步：动态码验证失败多因手机时间不准，检查并同步系统时间
- 恢复码也丢失：只能提交工单，向客服提供账号所有权证明，流程较慢
防钓鱼建议
- 核实网址：搬瓦工官网为 bwh81.net / bwh88.net 等，留意 URL 中的细微差异（如 bandwagonhost 替换为 bandwag0nhost）
- 不点不明链接：遇到「账号即将停用」等催促邮件，直接输入官网地址访问，不点邮件中的链接
- 勿在第三方网站登录：只在官方域名下输入账号密码
- 开启邮箱 2FA：邮箱也是账号安全的重要环节，同样建议开启两步验证
完成2FA设置
开启两步验证后，即使密码泄露，攻击者也无法在没有你手机的情况下登录账号。这一步强烈推荐每位搬瓦工用户完成。
小结
- 密码 16 位以上、唯一、用密码管理器保存
- 开启 2FA 并备份恢复码到安全位置
- 2FA 失效先用恢复码，其次联系客服
- 钓鱼防范：核实网址、不点不明链接
常见问题
哪些 2FA App 可以用？
推荐 Google Authenticator（iOS/Android）或 Aegis（Android，支持加密备份）。两者均基于 TOTP 标准，与搬瓦工兼容。
换手机后 2FA 怎么迁移？
Google Authenticator 支持账号导出功能，可在旧手机上导出并导入新手机。也可在更换前用备用恢复码重新绑定 2FA。
忘记备用恢复码又丢了手机怎么办？
只能提交工单，向客服说明情况并提供账号所有权证明（如注册邮箱、付款记录等），等待人工核实解绑。
2FA 开启后还能用支付宝快捷登录吗？
2FA 绑定账号登录流程，不影响支付环节。每次输入账号密码后额外输入动态码即可正常使用支付宝付款。