憑證泄露與釣魚：改完密碼為什么還可能被登錄
把密碼、會話、API 密鑰和第三方授權放進同一份處置清單，保護網站后臺與云帳號。
本文目錄
身份憑證不止登錄密碼
后臺密碼、瀏覽器會話、部署令牌、云 API 密鑰和第三方應用授權都可能賦予存取能力。密碼修改是否會讓既有會話失效，取決于系統實現，不能想當然。建議為關鍵帳號明確會話撤銷入口、密鑰清單和應急恢復負責人。
先通過可信入口確認消息
“網域即將停用”“賬單失敗”“安全驗證”等通知，應從已保存的控制臺地址或官方支持渠道核實，不直接使用陌生消息里的登錄鏈接。若已經提交憑證，應保存時間和頁面資訊后處置帳號；不要為了調查而繼續在可疑頁面上傳驗證碼或文件。
撤銷、輪換和審計一起做
從可信設備修改密碼，按影響范圍撤銷會話、更新密鑰并檢查新增的多因素認證設備與第三方授權。隨后審查 DNS、回源地址、支付資訊和權限變更。共享給自動化任務的密鑰要有依賴清單，輪換時驗證新任務正常、舊密鑰失效。
把防撞庫與后臺安全分開配置
登錄接口可結合帳號維度、失敗次數和異常行為控制頻率，避免只按共享 IP 一刀切。管理帳號應使用適合系統的多因素認證、最小權限和獨立帳號。SCDN 或 WAF 可幫助處理其支持的異常請求，但無法替代會話撤銷與身份權限治理。
參考資料
OWASP credential stuffing prevention