什么是密码管理器？
密码管理器 是一个加密的保险库：它替你记住一个强主密码，其余一切都由它来填写。你不必在十二个网站复用 Summer2019!，而是为每个站点生成一个不同的 20 字符密码，需要时由管理器存储、取回并替你输入。
这就是全部思路。其他一切 — 同步、共享、passkeys、自动填充、自托管 — 都只是围绕这一项好处的水管工程。
人们为何需要一个
问题出在算术上。人能记住的好密码必然好记，而好记就意味着重复使用。撞库攻击会把从某个站点泄露的密码拿到其他成千上万个站点上逐个尝试，因此一个重复使用的密码就可能让你损失一个完全无关的账户。解法是每个账户一个唯一密码，而这恰恰是没人愿意去记的事。
密码管理器去掉了记忆这一步。你只记住一个秘密；其余由保险库保管。
密码管理器实际存储什么
不只是密码。现代保险库保存的东西多得惊人：
| 项目 | 是什么 |
|---|---|
| 登录项 | URL、用户名、密码、备注、TOTP 种子 |
| 支付卡片 | 卡号、有效期、CVV、发卡方分组 |
| 加密钱包 | 地址、私钥、助记词 |
| 身份 | 姓名、地址、电话、证件号码 |
| 安全笔记 | 任何你不愿粘贴进聊天应用里的其他内容 |
| Passkey | 完全取代密码的 WebAuthn 凭据 |
TOTP 值得单独说明：用于双因素认证的基于时间的一次性验证码可以与它所保护的密码放在同一个条目里，这样登录信息和它的轮换验证码就待在一起，而不是分散在两个不同的应用里。
区分好坏的那四件事
1. 加密模型
靠谱的管理器会在你的设备上，用从主密码派生出的密钥加密你的保险库（OpenKey 使用 Argon2id 做派生，用 AES-256-GCM 加密保险库数据）。运行服务器的公司不应能读取你的条目 — 这就是 零知识 属性。如果服务商能替你重置主密码，或持有一把可用于解密的主密钥，那它就不是零知识的，无论营销文案怎么写。
2. 加密数据存放在哪里
常见的三种答案，按控制权递增排列：
- 厂商云 — 服务器由别人运行。最简单，同时你也继承了他们的可用性、他们的泄露历史和他们的司法辖区。
- 厂商云，可自托管 — 同样的客户端，可选自带服务器。
- 你自己的服务器 — 你来运行同步 API。服务器保存密文，且无法读取。
对于像 OpenKey 这样的自托管方案，被盗的服务器数据库只是一堆被盗的密文，而不是一份被盗的密码清单。
3. 自动填充的质量
自动填充是密码管理器真正体现价值的地方，因为这是你一天要触碰五十次的操作。要找的是浏览器扩展、移动端的系统级提供方，以及 passkey 路径。搜索需求也印证了这一点：「autofill」及其细化词的查询量数倍于「password vault」。
4. 恢复姿态
必须有人能告诉你实情：忘记主密码会怎样。零知识设计做不到这一点：服务器手里没有任何能帮上忙的东西。好的管理器会直说这一点，给你由你掌控的加密本地备份，也不会假装客服人员能帮上忙。关于如何彻底避免这种情况，请看忘记主密码。
密码管理器不是什么
- 不是你账户的备份。 它保存凭据；它无法解锁一个被锁死的邮箱账户。
- 不是自动的 2FA。 保存 TOTP 种子不等于用硬件密钥保护账户。
- 不是重复使用密码的许可。 全部价值都在于唯一性。
- 不是省略主密码的理由。 保险库的强度只取决于打开它的那把密钥。
究竟该怎么用
- 选一个强主密码。 长胜于复杂。由四到六个无关单词组成的多词口令短语比
P@ssw0rd!更强，也更容易回忆。 - 在导入任何内容之前先打开自动填充，这样保存的登录项就会自行积累起来。
- 导入你已有的内容。 Chrome 导出 大约只需一分钟。
- 用生成，别自己编。 每个新账户都用内置生成器。
- 先修最严重的 — 银行、邮箱和你主要的社交账户。
- 把验证码和账户放在一起。 把 TOTP 种子加到同一个条目（原理说明）。
- 做一份加密备份，放在离线的地方。
该选哪一种类型？
| 如果你…… | 看看 |
|---|---|
| 想要零配置，不在乎谁运行服务器 | 一款主流云管理器 |
| 想先试用再决定 | 任何真正设有免费层级的产品 — OpenKey 的免费层级 涵盖保险库、自动填充、passkeys 和自托管同步 |
| 想把同步放在自己掌控的硬件上 | 自托管密码管理器 |
| 正在离开某个大厂商 | LastPass 或 1Password 的迁移指南 |
| 深陷 Google 生态 | Google Password Manager — 以及何时该离开它 |
| 与家人共享 | 家庭密码管理器 |
| 与同事共享 | 团队密码管理器 |
人们在搜什么，以及这说明了什么
搜索数据是判断新手真正关心哪些问题的可靠代理。数据来自 Google Trends（全球范围，过去 12 个月）；人们在头部词条「password manager」上最常添加的细化词如下：
| 相关查询 | 相对关注度 |
|---|---|
| google password manager | 100 |
| google password | 93 |
| what is a password manager | 39 |
| best password manager | 25 |
| free password manager | 17 |
| password manager app | 17 |
| chrome password manager | 10 |
| password manager android | 9 |
| bitwarden | 7 |
| 1password | 4 |
有两点格外突出。第一，最常见的后续追问恰好就是本文回答的问题 — 这个词是用最通俗的英文问出来的，说明受众对这个品类还很陌生。第二，品牌词占主导：大多数人带着「哪个产品」的想法来到这个话题，而不是「这是什么」。同一数据集还显示，「what is a password manager」是上升最快的 信息型 细化词，同比增长约 1,050%，而「nord password manager」这类品牌存在词上涨约 850%。
Method: Google Trends，全球范围，过去 12 个月，2026 年九月提取。数字为归一化的相对关注度（0–100），而非月度搜索量。上升数字为相对上一年同期的增长率。
一分钟版本
密码管理器是一个加密的保险库，只需一个强主密码即可进入，因此每个账户都能拥有你永远不必记住的唯一密码。真正要紧的是：服务商能否读取你的数据（不应能）、加密数据存放在哪里、自动填充在你的设备上是否真的能用，以及忘记主密码时会怎样。选一个，打开自动填充，导入，然后用生成的方式一步步走出重复使用。