搬瓦工账户安全与两步验证教程

---

搬瓦工账户关联着VPS服务器的管理权限，一旦被盗号，攻击者可以重装系统、删除数据甚至转移服务。本文详细介绍如何通过密码策略、两步验证（2FA）和登录提醒来全面保护账户安全。

一、密码安全策略

账户密码是第一道防线。搬瓦工的密码设置要求：

• 最少8个字符
• 建议包含大小写字母、数字和特殊字符
• 不要使用与其他网站相同的密码

修改密码步骤：

1. 登录搬瓦工官网 bwh81.net
2. 点击右上角账户名，选择 "My Details"
3. 在 "Change Password" 区域输入当前密码和新密码
4. 点击 "Save Changes" 保存

Tip： 建议使用密码管理器（如 Bitwarden、1Password）生成并保管高强度随机密码。

二、开启两步验证（2FA）

两步验证是目前最有效的账户保护手段。开启后，每次登录除了密码还需输入动态验证码，即使密码泄露也无法被他人登录。

准备工作：

在手机上安装一款 TOTP 验证器应用：

• Google Authenticator（iOS / Android）
• Microsoft Authenticator（iOS / Android）
• Authy（支持多设备同步，推荐）

开启步骤：

1. 登录搬瓦工官网，进入 "My Details" 页面
2. 找到 "Two-Factor Authentication" 区域
3. 点击 "Click here to enable" 开始设置
4. 页面会显示一个二维码和一个文字密钥（Secret Key）
5. 打开手机上的验证器应用，扫描二维码（或手动输入密钥）
6. 验证器应用会开始生成6位动态验证码（每30秒更新一次）
7. 在搬瓦工页面输入当前显示的验证码，点击确认
8. 设置成功后，页面会提示两步验证已启用

Tip： 务必备份二维码截图或文字密钥。如果手机丢失且没有备份，将无法登录账户，只能联系客服重置。

三、备份恢复码

开启两步验证后，搬瓦工会提供一组恢复码（Recovery Codes）。这些恢复码可以在验证器不可用时替代动态验证码登录。

恢复码使用建议：

• 将恢复码保存在安全的地方（如密码管理器、打印后存放在保险箱）
• 每个恢复码只能使用一次
• 恢复码用完后需要重新生成
• 不要将恢复码存储在VPS上（VPS被入侵时恢复码也会泄露）

四、KiwiVM面板安全

除了搬瓦工主站账户，KiwiVM管理面板也需要注意安全：

• KiwiVM密码：KiwiVM面板默认通过搬瓦工主站登录，无需单独密码。但如果设置了独立密码，建议也使用强密码
• API访问：如果不使用API，建议不要生成API Key。已有的API Key如不再使用，应及时删除
• SSH密钥：在KiwiVM面板可以管理SSH公钥，定期检查确保没有未知公钥

五、登录安全提醒

搬瓦工会在以下情况发送邮件通知：

• 账户密码被修改
• 新设备首次登录
• 两步验证设置变更
• 新订单创建和付款

建议确保注册邮箱始终有效且常检查，发现异常登录通知时应立即修改密码并检查VPS状态。

六、VPS服务器安全

除了账户安全，VPS本身也需要加固：

1. 修改SSH端口：默认端口容易被扫描攻击，建议改为非标准端口

   sed -i 's/#Port 22/Port 29876/' /etc/ssh/sshd_config
   systemctl restart sshd

2. 禁用密码登录：配置SSH密钥后禁用密码登录

   sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
   systemctl restart sshd

3. 安装防火墙：使用 ufw 或 firewalld 只开放必要端口

   apt install ufw -y
   ufw allow 29876/tcp
   ufw allow 80/tcp
   ufw allow 443/tcp
   ufw enable

4. 定期更新系统：保持系统和软件包为最新版本

   # Debian/Ubuntu
   apt update && apt upgrade -y
   
   # CentOS
   yum update -y

5. 安装 fail2ban：自动封禁暴力破解IP

   apt install fail2ban -y
   systemctl enable fail2ban
   systemctl start fail2ban

七、账户被盗后的应急处理

如果怀疑账户已被盗用：

1. 立即修改搬瓦工账户密码
2. 检查并重新设置两步验证
3. 检查VPS是否被重装或修改
4. 查看是否有异常订单或操作记录
5. 修改VPS的root密码和SSH密钥
6. 如无法自行处理，通过搬瓦工后台提交工单（Support Ticket）联系客服

Tip： 更多教程请查看新手教程，购买方案请查看搬瓦工方案汇总。