雙重驗證 2FA：高權限帳號的基本控管

說明雙重驗證 2FA 的導入順序、備援碼管理、帳號分級、常見錯誤與維運檢查方式。

為什麼密碼不足以保護高權限帳號

密碼可能因釣魚、重複使用、裝置感染、外洩資料庫或弱密碼規則而失效。高權限帳號一旦被接管，影響的不只是登入者個人，還可能包含 DNS、信箱、網站檔案、主機控制台、付款資料與第三方服務授權。2FA 的價值在於讓密碼外洩後仍多一道阻隔。

導入 2FA 應先從控制面開始：DNS、主機商、cPanel、Webmail、主要信箱、網站後台、Git 或部署平台、金流與網域註冊商。這些帳號能修改系統入口或重設其他帳號，若沒有先保護，後續防線容易被繞過。

若服務支援，優先使用硬體安全金鑰或 Passkey；其次是驗證器 App 產生的一次性密碼。簡訊雖然比沒有 2FA 好，但容易受到 SIM 交換、電信帳號接管或訊息轉發影響，不建議作為高權限帳號的唯一第二因素。

2FA 導入後最大的維運風險是帳號被自己鎖住。備援碼應離線保存、限制可接觸人員，並在使用後立即更新。若有多名維護者，應建立帳號交接與緊急恢復流程，不要把所有權限集中在單一個人裝置。

常見問題包含只幫一般帳號開 2FA，卻忽略 DNS 與主機商；多人共用同一組管理員帳號；備援碼截圖放在雲端相簿；離職或角色變更後未撤銷權限；以及沒有定期檢查登入紀錄與通知信箱。

建議每季檢查一次高權限帳號清單、2FA 狀態、備援碼保存狀態、登入通知、恢復信箱與第三方授權。若發生 DNS 變更、主機搬移、人員異動或信箱服務調整，應立即重新確認相關帳號。