密码写在纸上安全吗：什么情况能写、什么情况不能
几乎每个上网超过十年的人，家里都有一张写过密码的纸：贴在显示器边框上、夹在钱包夹层里、抄在通讯录最后一页。安全科普看了不少，说法也很统一——不要把密码写在纸上。可现实是，越复杂的密码越记不住，最后还是落回了纸和笔。
先给结论：写不写在纸上，不是道德问题，而是威胁模型问题。纸怕的是「被身边的人看到」和「被顺手带走」；密码管理器怕的是「主密码忘光」和「设备丢失」。两种风险完全不同，答案自然也不该是一句「不行」。
一、先弄清纸到底怕什么
把「写纸上」当成一个整体来评判，最容易得出错误结论。真正决定风险的是三个变量：谁能碰到这张纸、纸上写的是哪个账号、泄露后能不能止损。同样是手写，论坛小号和工作邮箱主密码，风险差着几十倍。
| 谁会看到这张纸 | 典型场景 | 风险等级 | 建议 |
|---|---|---|---|
| 只有你自己 | 独居、纸张锁在抽屉或保险盒 | 低 | 可以写，但要写「提示」不写完整密码 |
| 家人 / 室友 | 合租、家里人多、桌面共用 | 中 | 只写不涉及钱的账号，钱相关一律不进纸 |
| 保洁、维修、搬家工人 | 纸张放在明面或未上锁抽屉 | 高 | 换位置或改存电子库 |
| 同事 / 客户 | 工位便签、笔记本夹页 | 很高 | 绝对不写工作账号与公司系统口令 |
这张表能解释一个常见矛盾：专家说纸不安全，老手却说「纸是最可靠的离线备份」。两边都没错，差别在于纸放在哪、写了什么。
二、判断标准：三类账号，三种处理
不要对所有账号用同一套办法。按「丢了会不会立刻破财」分三档，处理方式完全不同。
- 红色：绝不进纸。网银与支付、主邮箱、密码管理器主密码、公司 VPN 与后台、云服务器。这些账号一旦被拿走，攻击者能改掉找回方式，你连申诉入口都进不去。
- 黄色：可以进纸，但要加遮挡。电商、外卖、视频会员、论坛。损失可控，最坏是被人下单或发广告，改密码即可恢复。
- 绿色：随便记。一次性的临时注册、试用站点、早就不用的旧账号。它们占了你记忆的大半，却几乎没有价值。
很多人搞反了：把最该记住的网银密码写在便签上，却把论坛密码背得滚瓜烂熟。记忆资源应该优先给红色账号，其余交给工具或纸。
三、真要写，就按这套写法
如果决定写，写法比「写不写」更关键。四条规则，照做即可。
- 不写完整密码，只写提示。例如真实密码是「Lantern-2024-Cat-Bridge」，纸上只写「灯·年·猫·桥」，顺序和符号自己心里有数。
- 账号与密码分开两处。一张纸写「站点 + 用户名」，另一张写对应的密码片段，分开放。单独拿到一张，几乎拼不出完整凭据。
- 写代号，不写真实站点名。把「招商银行」写成「Z」，把「公司邮箱」写成「M」。
- 纸要有归处，也要有期限。固定放一个上锁的抽屉或文件袋，改密码就换纸、旧纸当场撕碎，不要攒一摞。
| 写法 | 别人捡到后能做什么 | 评价 |
|---|---|---|
| 完整账号密码抄一列 | 直接登录，全部沦陷 | 最差，等于把钥匙串送人 |
| 只写密码不写站点 | 要逐个试，成本高 | 勉强可用，但自己也会搞混 |
| 站点 + 用户名 + 密码提示 | 只能猜，猜中概率极低 | 推荐，日常够用 |
| 提示词打乱 + 两处分开存放 | 几乎无法还原 | 最优，适合红色账号的备份 |
核心思路是让纸本身不构成完整凭据：缺一块拼图，损失就停在「需要改密码」这一步。
四、纸和密码管理器不是对立面
更稳的做法其实是组合：日常用密码管理器，纸上只留一份「应急恢复信息」。日常登录靠自动填充，省事且不会重复用密码；纸负责最尴尬的场景——主密码忘了、设备坏了。
应急纸上建议只写三样东西：主密码的提示、恢复邮箱的登录方式、以及恢复码存放位置。恢复码本身不要和提示写在同一张纸上。关于恢复码怎么保存，可以参考双重验证备份码怎么存；如果已经在用浏览器自带的管理器，先看浏览器保存密码到底安不安全再决定要不要迁移。
五、十分钟验收清单
不用重构整个习惯，先花十分钟把最危险的部分处理掉。逐条打勾，没做到的今天就改。
- 桌面、显示器边框、键盘底下没有裸露的便签纸。
- 网银、支付、主邮箱、主密码这四类，纸上找不到完整字符串。
- 纸质记录集中在一处，并且那一处能上锁或至少不在客厅明面。
- 旧纸没有攒成一摞，改过密码的纸已经销毁。
- 至少有一份密码库的离线备份，且备份本身也有密码保护。
- 家里有人知道「万一出事去哪找」，但不知道具体密码。
纯纸质方案最大的隐患不是泄露，而是只有你一个人知道——真出事时，家人连该改哪些账号都不知道。这一点在数字遗产怎么交代里有更完整的处理办法。
常见问题
把密码写在纸上，会被黑客偷走吗？
远程黑客偷不到纸。纸的风险几乎全部来自物理接触：同住的人、上门维修、搬家。只要不放在公共区域、不写完整凭据，远程攻击者对它毫无办法，这一点反而比存在云端的表格更安全。
纸和 Excel 表格比，哪个更安全？
纯本地、不联网、不上传网盘的 Excel，安全性接近纸；一旦同步到网盘或发过微信，就等于把全部密码交给第三方存储。真要电子化，用带加密的密码管理器，别用表格。从表格迁移到密码库的过程比想象中简单。
老人不会用密码管理器，怎么办？
别硬推工具。给老人准备一本只记「黄色账号」的纸质本，红色账号（银行、医保、微信支付）由子女协助设置、写进密码库并留一份应急提示。强行让老人记复杂密码，结果往往是所有账号共用一个简单密码，风险更大。
纸上写了密码，还需要开双重验证吗？
需要，而且更重要。双重验证能把「密码已泄露」降级成「还差一步」，纸丢了也不至于直接失守。优先级是先开双重验证，再考虑密码怎么存，顺序别反。
小结
「密码写在纸上安全吗」没有统一答案，只有分层答案：红色账号绝不进纸，黄色账号可以写提示，绿色账号随便记。真要写，就写提示不写全码、账号与密码分开放、纸有固定归处并且及时销毁旧纸。做到这几条，纸不仅不是漏洞，反而是电子方案失效时最可靠的那条后路。
