网站发生重大数据泄露后，泄露的数据常常会在互联网上流传。 有一些网站收集这些泄露记录，并允许你通过邮箱查询是否在泄露名单中。 Firefox Monitor、Have I been pwned 和 DeHashed 都支持邮箱监控，发现新泄露时会通知你。 这样你可以第一时间修改受影响账户的密码。Have I been pwned 还支持域名范围通知，适合用别名邮箱的用户。

在公共场所输入密码时，确保没有摄像头正对你，也没有人能从肩膀后偷看。 输入时用手遮挡，不要在屏幕上显示明文密码。

数据库泄露和数据泄漏很常见，你的部分密码很可能已经在网上流传。 定期（如每年）更新重要账户的密码有助于降低风险。但只要所有密码都足够长、强且唯一，就无需频繁更换。 企业强制定期更换密码已不再推荐， 因为这反而容易导致弱密码。

现代浏览器常常会提示你保存登录凭据。不要允许浏览器保存密码，因为它们未必加密，容易被他人获取。 建议使用专用密码管理器存储和自动填写密码。

避免在他人电脑上登录账户，因为你无法确定对方设备是否安全。 公共电脑尤其危险，恶意软件和跟踪更常见。必须使用时，请开启隐私/无痕模式（Ctrl+Shift+N）， 这样浏览器不会保存你的凭据、Cookie和历史记录。

有些网站允许设置密码提示，答案往往很容易被猜到。如果必须设置，建议用随机答案，并记录在密码管理器中。

如果网站要求设置安全问题（如出生地、母亲姓名、第一辆车等），不要填写真实答案。 黑客很容易通过网络或社交工程获取这些信息。建议用虚构答案，并记录在密码管理器中。

不要用4位数字PIN解锁手机或电脑，建议用文本密码或更长的PIN。 数字PIN很容易被破解（4位PIN只有1万种组合，4位字母数字码有740万种）。

启用多因素认证时，优先选择基于应用的验证码或硬件令牌。短信容易被SIM卡劫持 或拦截，而且手机号的存储和用途也无法保证安全。 实际上，短信只有有信号时才能用，且速度较慢。如果网站强制要求短信恢复，建议专门买一张预付费卡只用于恢复。