凭证泄露与钓鱼：改完密码为什么还可能被登录
把密码、会话、API 密钥和第三方授权放进同一份处置清单，保护网站后台与云账号。
本文目录
身份凭证不止登录密码
后台密码、浏览器会话、部署令牌、云 API 密钥和第三方应用授权都可能赋予访问能力。密码修改是否会让既有会话失效，取决于系统实现，不能想当然。建议为关键账号明确会话撤销入口、密钥清单和应急恢复负责人。
先通过可信入口确认消息
“域名即将停用”“账单失败”“安全验证”等通知，应从已保存的控制台地址或官方支持渠道核实，不直接使用陌生消息里的登录链接。若已经提交凭证，应保存时间和页面信息后处置账号；不要为了调查而继续在可疑页面上传验证码或文件。
撤销、轮换和审计一起做
从可信设备修改密码，按影响范围撤销会话、更新密钥并检查新增的多因素认证设备与第三方授权。随后审查 DNS、回源地址、支付信息和权限变更。共享给自动化任务的密钥要有依赖清单，轮换时验证新任务正常、旧密钥失效。
把防撞库与后台安全分开配置
登录接口可结合账号维度、失败次数和异常行为控制频率，避免只按共享 IP 一刀切。管理账号应使用适合系统的多因素认证、最小权限和独立账号。SCDN 或 WAF 可帮助处理其支持的异常请求，但无法替代会话撤销与身份权限治理。
参考资料
OWASP credential stuffing prevention