密碼被盜的新聞看多了，網站又一直提醒你開啟兩步驟驗證，但又怕開了以後換手機就登不進去。這種擔心很合理，只要先準備好備用方式，就不用怕被鎖在帳號外。
兩步驟驗證是在密碼之外，再多要一道確認。就算密碼外洩，對方沒有你的手機或驗證碼，通常也登不進去，所以 Email 和社群帳號都建議開啟。
兩步驟驗證是什麼？跟雙重驗證一樣嗎
兩步驟驗證（2SV）的意思是登入時要過兩關：第一關是密碼，第二關是手機提示、驗證碼或實體金鑰。
雙重驗證（2FA）、多重要素驗證（MFA）的概念很接近，一般使用者可以當成同一類功能。各網站用詞不同，Google 叫「兩步驟驗證」，Instagram 和 Facebook 叫「雙重驗證」。
如果你收到的是密碼外洩警告，改完密碼後的下一步就是開啟它。
帳號很多時，先開主要 Email，因為其他網站重設密碼的信都會寄到這裡。接著是 Google、Apple 這類綁很多服務的帳號，再來是社群帳號和密碼管理工具。
第二道驗證有哪幾種？該選哪個
| 方式 | 怎麼運作 | 優點 | 要注意 |
|---|---|---|---|
| 驗證 App | App 定時產生新驗證碼，常見是 30 秒換一組 | 不需要收簡訊 | 換手機要先轉移 |
| 手機提示 | 手機跳通知，按確認 | 最省事 | 不要亂按不是自己發起的提示 |
| 簡訊驗證碼 | 傳送一次性數字到手機 | 不用裝 App | 出國可能收不到 |
| 實體安全金鑰 | 插入或感應小型裝置 | 防釣魚能力強 | 要另外購買，也要準備備用 |
| 通行密鑰 | 用指紋或臉部辨識登入 | 不用輸入驗證碼 | 不是每個網站都支援 |
一般人建議用驗證 App 或手機提示，再搭配備用碼。常出國的人更不建議只靠簡訊，換了當地 SIM 卡或沒開漫遊時可能收不到。
這幾種的防護力也不一樣，差別主要在這兩點：
- 簡訊可能被攔截： 詐騙集團可能把你的門號轉到他們的 SIM 卡，簡訊驗證碼就會傳到對方手上。所以資安標準把簡訊列為風險較高的方式，但還是比只有密碼好。
- 手動輸入的驗證碼，都可能被假網站騙走： 簡訊和驗證 App 都一樣。通行密鑰和實體金鑰會確認網站是不是真的，到了假網站不會生效，所以防釣魚能力最強。
想要連密碼都不用輸入，可以閱讀通行密鑰是什麼。
驗證 App 要裝哪個？怎麼設定
常見的有 Google Authenticator 和 Microsoft Authenticator，都可以免費使用。一個 App 可以放很多網站的驗證碼，不用每個網站各裝一個。
各網站的設定方式都差不多，以 Google Authenticator 為例：
- 到 App Store 或 Google Play 搜尋安裝。商店裡有不少名字相近的 App，要認明開發商是 Google：
- 到要保護的網站，在兩步驟驗證設定裡選驗證 App，畫面會出現一個 QR Code。
- 打開 App 掃描這個 QR Code，App 就會開始產生驗證碼。
- 把 App 顯示的驗證碼輸入回網站，完成設定。
用 App 產生驗證碼不需要網路，也不用手機訊號，所以出國時也能用。
有個設定要特別注意：Google Authenticator 登入 Google 帳戶後，驗證碼會同步到帳戶，換手機時在新手機登入就會自動出現。如果選擇不登入，驗證碼只存在這支手機，手機不見就拿不回來。
開同步的話，Google 帳戶本身就很重要。Google 帳戶的第二道驗證不要只設驗證 App，否則登不進帳戶時，同步的驗證碼也拿不到。
Google 帳戶怎麼開啟兩步驟驗證
Google 帳戶的設定都在「安全性與登入」，步驟如下：
- 登入 Google 帳戶（myaccount.google.com），點左側選單的「安全性與登入」。
- 在「登入 Google 的方式」下方點「兩步驟驗證」，依畫面開啟：
- 加入第二道驗證方式，例如手機提示或驗證 App。
- 同一頁再點「備用碼」，取得 10 組備用碼並存放在安全的地方。
Google 官方也建議加入一種以上的第二道驗證方式。如果只用驗證 App，手機不見時就容易被鎖在外面。
順便把備援電話、備援電子郵件和備援聯絡人也設好，登不進去時都能用來取回帳戶。備援電子郵件要用另一個信箱，不能是登入這個帳戶的那一個。
另外要注意時間差：新增或變更驗證方式後，最多可能要 7 天才會生效。這是為了防止別人偷改，所以出國或換手機前一週就要設定好。
Instagram、Facebook 怎麼開啟
Instagram 和 Facebook 現在都走 Meta 的帳號管理中心，步驟大致相同：
- 進入帳號管理中心：Instagram 打開「設定」，點「在帳號管理中心查看更多設定」；Facebook 點大頭貼照，進「設定和隱私」、「設定」，再點「帳號管理中心」。
- 選「密碼和帳號安全」，再選「雙重驗證」：
- 選擇要設定的帳號，再選驗證方式。
- 依畫面完成。之後回到同一頁點「其他方式」取得備用碼，Instagram 叫「備用驗證碼」，Facebook 叫「復原碼」。
Instagram 可以選驗證 App、簡訊或 WhatsApp。官方建議用驗證 App，因為同一個帳號可以連結多台裝置，每台都能取得登入碼。
Facebook 可以選驗證 App、簡訊或安全性金鑰。
Meta 正在逐步把帳號更新成 Meta 帳號，有些人看到的名稱會是「Meta 帳號設定」。找不到時，可以在設定頁直接搜尋「雙重驗證」。帳號已經被盜的話，先閱讀 Instagram 帳號被盜或 Facebook 帳號被盜的處理方式。
備用碼要怎麼存？
備用碼是手機不能用時的保險。Google 和 Facebook 一次都給 10 組，每組只能用一次。
這些備用碼要登入後才拿得到，所以開啟時就要存好，不要等登不進去才想到。
- 至少存兩個地方： 例如密碼管理工具一份，再印一份放在收護照的地方。需要工具的話，可以參考另一篇密碼管理器推薦，裡面也有 NordPass 等選擇。
- 不要只存在同一支手機： 手機相簿裡的截圖，會跟著手機一起不見。
- 不要只存在同一個帳戶： Google 的備用碼如果只放在 Gmail 或 Google 雲端硬碟，登不進去時就拿不到。
- 用過就做記號： 每用掉一組就畫掉，快用完時再產生新的一組。
- 不要給任何人： Google 只會在你登入時要求輸入備用碼，別人跟你要都不要給。
產生新的一組後，舊的那組就會失效，記得把舊的丟掉。懷疑備用碼被別人看到時，也是重新產生一組。
兩步驟驗證可以關閉嗎？
可以，但除非要換其他方式，否則不建議關。關掉之後，帳號又回到只靠一組密碼保護。
- Google： 到「安全性與登入」點「兩步驟驗證」，按「停用」後再確認一次。之前存的備用碼也要銷毀，用過應用程式密碼的話，建議一併撤銷。
- Instagram、Facebook： 到帳號管理中心的「密碼和帳號安全」點「雙重驗證」，選帳號後，再選要關閉的驗證方式。
公司或學校的帳號如果是管理員要求開啟，可能無法自己關閉，要找管理員處理。
如果關閉是因為換手機或收不到驗證碼，先看下一段，通常不用整個關掉。
驗證碼收不到怎麼辦
收不到驗證碼時，建議照這個順序處理：
- 先看手機有沒有跳通知： Google 可能傳的是手機提示，不是簡訊驗證碼。
- 確認手機號碼和訊號： 簡訊要有訊號才收得到，電信業者也可能延遲，稍等一下再看。人在國外就確認漫遊有沒有開，簡訊收件匣滿了也要清一下。
- 輸入最新的那一組： 多按幾次重新傳送會收到好幾組，只有最新一組有效。
- 改用其他方式： 登入畫面通常有「試試其他方法」，可以改用手機提示、驗證 App 或備用碼。
- 檢查時間設定： 驗證 App 的驗證碼跟時間有關，手機時間不準時可能會錯，把時間改成自動設定。
- 走帳號救援： 全部都不能用時，照下面「手機不見或被鎖在帳號外」的順序處理，可能要等待審核。
人在不常去的地方登入時，Google 也可能不發簡訊驗證碼。這時改用手機提示或備用碼比較快。
換手機才收不到的話，舊手機先不要重置，往下看換手機的做法。用驗證 App 的人，也可以參考另一篇 Google Authenticator 換手機教學。
換手機前先做這 4 件事
最容易被鎖在帳號外的時機就是換手機。舊手機還能用時，先把這幾件事做完：
- 舊手機先不要重置： 要等新手機確定都能登入，再重置或賣掉舊手機。
- 搬驗證 App： Google Authenticator 有開同步，在新手機登入同一個 Google 帳戶就會出現。沒開同步，要在舊手機的 App 選單點「轉移帳戶」、「匯出帳戶」產生 QR Code，再用新手機掃描。其他驗證 App 的搬法不同，要看各 App 的說明。
- 新手機登入帳戶： Google 的手機提示會傳到已登入帳戶的手機，新手機登入後就能收。
- 換門號的話先改號碼： 趁舊門號還能收簡訊，到各網站把新號碼加上去。
做完後，用新手機實際登入一次重要帳號，確認驗證碼都能用，再處理舊手機。
手機不見或被鎖在帳號外，怎麼救回
手機遺失或被偷時，如果還有其他裝置能登入，先改密碼，並把那支手機上的帳號登出。接著依帳號照下面的順序處理。
Google 帳戶
- 其他備用方式： 在登入畫面點「試試其他方法」，可以用另一支已登入的手機、另外設定的電話號碼、備用碼、實體金鑰，或其他裝置上的通行密鑰。
- 信任的裝置： 以前登入時勾過「這部電腦以後不需要驗證」的電腦，可能不用第二道驗證就能登入。
- 找電信業者補卡： 請電信業者把門號轉到新的手機或 SIM 卡，就能再收簡訊驗證碼。
- 帳戶救援： 全部都不行時，到 Google 帳戶救援頁面回答問題。盡量用以前常登入的裝置和地點，Google 可能要 3 到 5 個工作天才能確認身分。
- 用其他裝置核可： 還有其他手機、平板或瀏覽器登入著 Facebook 的話，查看通知，可能可以直接核可這次登入。
- 用復原碼： 輸入之前存下來的其中一組復原碼。
- 申請確認身分： 在要求輸入驗證碼的畫面找說明連結。電腦版點「需要其他驗證方式嗎？」、「其他選項」、「取得更多協助」；Android 點「遇到問題？」；iPhone、iPad 點「需要協助？」。
Facebook 可能會要你上傳身分證件照片、回答安全提問，或請信任聯絡人協助。官方說明通常 1 到 2 個工作天內，會把指示寄到帳號綁定的 Email 或手機號碼。
Facebook Lite 不能申請確認身分，要改用完整版 App 或網頁版。
可以用之前存的備用驗證碼登入。備用驗證碼要登入後才拿得到，沒有事先存的話，這時就用不上。
Instagram 官方也說明，如果無法使用註冊時的 Email，帳號又沒有連結過 Facebook，就無法幫你取回帳號。所以換 Email 時，要記得更新到 Instagram。
救回來之後
登入後先到裝置清單，把遺失的手機登出。接著重新設定驗證方式，再產生一組新的備用碼。
開了兩步驟驗證，還需要 VPN 嗎？
這兩個解決的是不同問題。兩步驟驗證保護的是帳號登入，VPN 保護的是連線，會加密資料並隱藏真實 IP。
VPN 不能防止你在釣魚網站輸入密碼和驗證碼，兩步驟驗證也不會加密你在公共 Wi-Fi 的連線。平常在家不一定需要 VPN，常用公共網路再考慮搭配。
點到可疑連結、把驗證碼輸入假網站時，先閱讀不小心點到詐騙連結怎麼辦，而且要立刻改密碼。
驗證碼也可能被騙，這幾點要記得
兩步驟驗證不是萬無一失，常見的破口是人被騙。對方假裝客服或朋友，要你把剛收到的驗證碼唸給他，就能登入你的帳號。
- 驗證碼不要告訴任何人： 正常客服不會跟你要驗證碼。
- 沒有登入卻跳提示，不要按確認： 這可能是別人正在用你的密碼登入，就算連續跳很多次也不要按，並馬上改密碼。
- 看清楚網址再輸入： 假網站也可能騙走驗證碼，通行密鑰或實體金鑰比較不怕這招。
常見問題
開了兩步驟驗證，每次登入都要輸入嗎？
不一定。Google 這類服務可以把常用裝置設為信任，之後不用每次驗證。
換新裝置、清除瀏覽資料，或系統判斷登入異常時，才會再問一次。公用電腦不要勾選信任。
備用碼弄丟或用完怎麼辦？
還能登入的話，重新產生一組就好，舊的會自動失效。
已經登不進去時，Google 的備用碼如果下載過，可以在電腦搜尋「Backup-codes-使用者名稱.txt」這個檔名。找不到就要走帳號救援。
簡訊驗證還安全嗎？
比只有密碼好很多，但比不上驗證 App 或實體金鑰。
如果網站只提供簡訊，還是建議開。之後網站有更好的選項，再換過去。
手機不見，帳號會被別人登入嗎？
對方還要能解鎖手機，所以螢幕鎖定一定要設。手機通知也建議隱藏內容，避免在鎖定畫面看到驗證碼。
發現手機不見時，先用其他裝置登入帳號改密碼，再移除遺失的裝置。
開了之後，舊的郵件軟體或 App 登不進去怎麼辦？
開啟後，有些應用程式會要求重新登入，先登入一次看看。
還是不行的話，這個應用程式可能不支援兩步驟驗證，要到 Google 帳戶產生「應用程式密碼」，再輸入到應用程式裡。
出國前要準備什麼？
至少提前一週把驗證 App 或手機提示設好，Google 的新驗證方式最多可能要 7 天才生效。備用碼也帶一份在身上。
手機提示要連上網路才收得到，驗證 App 不用網路。只用簡訊的話，要確認門號在當地收得到簡訊。