密码多久换一次：定期更换已过时，该换的是这五种情况
「密码 90 天必须换一次」这条规定，很多公司还在执行，很多银行 App 也还在提醒。但安全圈的主流结论早已反过来：定期强制更换，收益很小，副作用很大。这篇把「合规要求」和「真实安全」分开讲，再给出五类真正该换密码的情况和一套不折腾的轮换策略。
为什么「定期换」被淘汰了
NIST SP 800-63B 明确不再建议周期性强制更换密码，只在「有泄露迹象」时要求更换。原因有三：
- 人会偷懒：被逼着换，最省事的做法是 `Password01` → `Password02`，规律一猜就中；
- 强度被牺牲：为了记得住，用户会选择更短、更有规律的密码，整体安全性反而下降；
- 换密码不等于止损：如果密码已经泄露，攻击者往往早已登录并留下后门，换密码只是补救的一步，不是全部。
真正降低风险的，是「每站唯一 + 双因素 + 泄露监控」，而不是日历上的提醒。这两件事的做法见强密码怎么设置与两步验证怎么开启。
这五种情况必须换
| 触发条件 | 为什么 | 换完还要做什么 |
|---|---|---|
| 该网站发生数据泄露 | 密文可能被拖走，离线破解只是时间问题 | 改密码 + 退出所有设备 + 查登录记录 |
| 收到异地登录 / 异常登录提醒 | 凭据可能已被使用 | 改密码 + 开启双因素 + 检查授权应用 |
| 在可疑页面输入过密码 | 钓鱼或假登录页会实时转发 | 立即改密码，并检查是否被绑定新设备 |
| 有人离职 / 共享账号成员变动 | 共享凭据的边界变了 | 改密码 + 回收权限，别只改不改权限 |
| 设备丢失或被他人使用 | 浏览器/管理器里可能留有明文 | 远程登出 + 改主密码 + 撤销会话 |
合规要求怎么办
等保、ISO 27001、部分行业监管仍会检查「密码定期更换策略」。这是合规要求，不等于安全最优。可行的折中：
- 把周期从 90 天放宽到 180 天，并允许「强密码 + 双因素」的账号免于强制更换；
- 强制使用密码管理器生成随机密码，换密码的成本从「想一个」变成「点一下」；
- 把「泄露检测」纳入流程：定期比对泄露库，命中即触发更换，比按日历换精准得多；
- 关键系统（邮箱、VPN、云控制台）单独提高要求：长密码 + 硬件密钥，而不是频繁换。
一套不折腾的个人策略
- 主密码（邮箱、支付、主账号）：不按时间换，只在出现泄露信号时换；
- 普通网站：交给密码管理器生成，永远不主动换，泄露了再换；
- 共享账号（家庭、团队）：成员变动就换，这条比日历重要；
- 每季度做一次 10 分钟体检：查泄露库、看登录设备、清理不用的授权。
常见问题
不换密码，万一泄露了怎么办？
靠两层兜底：一是每个站密码唯一，泄露一个不影响其他；二是开启双因素，即使密码被猜到也进不去。再配合泄露监控，就能把「不知道泄露」的窗口缩短。
公司要求 90 天换，我能不改吗？
合规要求优先遵守。可以在规则允许范围内用长随机密码 + 管理器，把每次更换的成本降到最低，同时向 IT 提议改为「触发式更换」。
换密码后还要做什么？
退出所有设备、检查登录记录与授权应用、更新密码管理器里的条目。如果涉及邮箱，还要检查转发规则和 recovery 邮箱是否被改。完整处置见密码泄露了怎么办。
小结
密码不该按日历换，该按信号换：泄露、异常登录、可疑输入、成员变动、设备丢失。把精力从「记得换」转到「每站唯一 + 双因素 + 定期查泄露」，安全收益高得多，也更可持续。