密码管理器（password manager）是一款把登录信息保存在加密保险库中的应用，它会为每个账户生成不同的强密码，并在登录时自动填写。用户只需记住一个主密码（再加上第二重验证），不用再记邮箱、网站托管、社交媒体、网上银行和各类业务软件的几十个密码。
对企业来说，更大的好处在于管控：谁能看到哪些登录信息、账户怎样共享，以及员工离职时如何处理。
重复使用密码有什么问题
需要记的密码太多，用户往往会重复使用同一个密码，或者只做细微改动。一旦某个网站数据泄露，攻击者就会拿同一组邮箱和密码去登录其他服务。这种手法叫作撞库攻击（credential stuffing），只要密码被重复使用过，就可能得手。
公司共用账户是另一个问题。域名注册商、社交媒体主页或供应商平台的登录信息，常常放在电子表格、聊天记录或某位同事手机的备忘录里。没人说得清谁手上有一份，员工离职后密码也很少更换。
密码管理器如何工作
- 加密保险库：登录信息、备注和其他敏感信息都加密保存。不少企业版产品的设计让服务商自己也无法读取保险库内容，但应查阅具体厂商的安全文档，不要想当然。
- 密码生成器：生成又长又随机的密码，让每个账户都使用独立密码。
- 自动填充：浏览器插件和手机应用会在匹配的网站上填写登录信息。遇到仿冒的钓鱼网站时，网址对不上，工具不会自动填充，有助于用户发现异常。
- 同步：同一个保险库可以在用户的电脑和手机上使用。
- 安全检查：很多工具会标出强度不足、重复使用或已经泄露的密码。
企业选型时要看的功能
个人版或浏览器自带的密码管理功能，个人使用已经够了。如果是团队使用，需要关注以下功能：
- 共享保险库或文件夹，并能设置权限。比如市场部能看到社交媒体账户，财务部能看到银行平台，但双方都看不到全部内容。这和基于角色的访问控制是同一个思路。
- 管理员控制：强制开启 MFA、设置密码规则，以及限制可使用的设备或浏览器。
- 入职和离职流程：把新员工加入相应的保险库，并能一步收回离职员工的权限。
- 操作日志：记录谁查看、修改或共享过某个条目。
- 账户恢复：由管理员处理，避免有人忘记主密码后公司无法访问数据。
- SSO 集成：如果公司已经通过统一的身份提供商登录各个办公应用，这项功能会很有用。
- 导出和数据存储位置：如果公司对业务数据的存储位置有政策要求，需要一并确认。
密码管理器、MFA 和 SSO
这三类工具分别解决同一个问题的不同部分：
- 单点登录（SSO）让员工用一个公司身份登录多个应用，部分密码因此不再需要。
- 多重身份验证（MFA）增加第二重检查，仅凭被盗的密码无法登录。
- 密码管理器负责 SSO 覆盖不到的账户，例如共用账户、较老的系统和第三方平台。
大多数企业三者都需要。密码管理器本身一定要开启 MFA，因为保险库里存着其他所有账户的登录信息。
小企业如何落地
- 列出最重要的账户：邮箱、域名和 DNS、网站托管、网站管理后台、支付和银行平台、社交媒体以及核心软件。
- 选择企业版方案，为每位用户开启 MFA，先从管理员开始。
- 按团队或岗位设置共享保险库，把登录信息从电子表格和聊天记录中迁移进去。
- 迁移时顺便更换密码，尤其是曾被大范围共享或重复使用的密码。
- 把密码管理器加入离职清单，同时更换离职员工知道的共用密码。
- 定期复核权限，例如每季度一次，删除不再需要的条目和人员。
常见问题
把所有密码放在一个地方会不会有风险？
风险确实更集中，所以保险库需要严格保护：足够长的主密码、MFA，以及及时更新应用。对大多数团队来说，这仍比重复使用密码、把登录信息放在电子表格或聊天记录里更安全，因为后者难以追踪，也很少更换。
浏览器自带的密码管理功能够用吗？
个人使用可能够用。团队使用时，它通常缺少共享保险库、权限设置、集中管理和离职管控，而这些正是企业引入密码管理器的主要原因。
通行密钥（passkey）会取代密码管理器吗？
在支持通行密钥的服务上，用户可以不用密码直接登录，很多密码管理器也能保存和同步通行密钥。在所有服务都支持之前，大多数团队仍需要一个地方来管理密码。
如需协助梳理团队如何存储和共享业务系统的访问权限，可参考我们的网络安全与合规服务。