第一次见这么坑：P站别再乱装：最关键的两步验证，建议先收藏（别乱点）

刚注册或常用P站（Pixiv）的人请先停一下：很多账号被盯上不是因为“密码太简单”，而是因为点了不该点的东西、装了恶心的插件或没开两步验证。下面两步是最关键、也最快见效的防护，照着做能挡掉绝大多数常见攻击；后面还有一份实用清单，别慌，按步骤来就行。

一、先说结论——最关键的两步 1) 立刻启用基于时间的一次性验证码（TOTP，使用验证器APP） 2) 妥善保存并保护“备用代码/恢复码”，并把主密码换成唯一且复杂的密码（用密码管理器保存）

下面把每一步拆开讲清楚怎么做、为什么要做、常见坑在哪。

二、步骤详解：如何安全启用两步验证（推荐TOTP）

• 在P站打开“账户设置/安全”里找“两步验证/二段階認証”。
• 选择“使用验证器APP（Authenticator）”而非短信（SMS）。推荐的APP：Google Authenticator、Authy、Microsoft Authenticator 或支持TOTP的其它应用。
• 用手机验证器扫码或手动输入密钥，然后输入生成的一次性代码完成绑定。
• 系统会给你一串备用/恢复码（backup codes），把它离线妥善保存（纸质记录放保险箱，或保存在你信得过的密码管理器里）。不要把备用码截屏上传云端或者发给别人。
• 完成后，去“设备管理/登录历史”把不认识的会话全部退出，必要时把已授权的第三方应用审查一遍并撤销可疑权限。

为什么选择TOTP而不是短信？

• 短信容易被SIM劫持或运营商欺骗获取，TOTP在本地设备生成，安全性更高。
• 支持硬件密钥（如FIDO2/YubiKey）的话，优先考虑硬件密钥，安全性再上一层楼。

三、备用与恢复策略（不要掉以轻心）

• 备用码要做到“可用、可靠、离线”：纸质备份、放入保险柜，或存在密码管理器的安全备注里。
• 如果更换手机，先在旧设备上取消绑定或准备好密钥/恢复码再切换。很多人因为没备份密钥而被自己锁在外面。
• 为注册邮箱也启用两步验证并保护好邮箱密码，因为邮箱常是找回P站的关键点。

四、别乱装、别乱点：常见诱饵与识别方法

• 不要安装来路不明的浏览器扩展、插件或修改版客户端。很多“增强功能”、“一键下载”之类的扩展捆绑窃取Cookie或密钥。
• 收到私信里带的链接先不要点，尤其是要求“登录”、“验证”或“领取礼物”的链接。把鼠标移到链接上看域名，检查是否是官方域名（注意拼写、额外子域或相似字符）。
• 官方页面外的第三方“破解”、“免费高级”页面几乎必有问题。不要输入账号密码。
• 下载图片、素材如果被要求先下载某个.exe、.apk或添加扩展，拒绝。P站正常功能不需要额外客户端来“解锁”图片。
• 对“客服”、“管理员”私信要求提供验证码或转发私密信息的一律不信。一切验证码都是独立个人使用，绝不应该发给任何人。

五、账户健康检查清单（跟着做一遍）

• 更换为唯一且复杂的主密码（使用密码管理器生成并保存）。
• 启用TOTP两步验证并保存备用码。
• 审查已登录设备/会话并全部退出不认识的会话。
• 撤销并重新审核第三方授权的APP。
• 检查注册邮箱是否安全且开启两步验证。
• 移除不必要或可疑的浏览器扩展并重装浏览器或清除Cookie（如果怀疑被窃取）。
• 如果可能，使用硬件安全密钥做二次认证。
• 定期备份重要创作数据（离线备份）以防账号被锁或被删。

六、账号被盗或无法登录怎么办

• 优先使用备用/恢复码登录并立刻更改密码与二次验证设置。
• 如果没备用码，用注册邮箱向P站官方申诉，按官方流程提交证明（注册信息、支付记录、上传作品的截图时间戳等）。
• 发现异常登录后，检查本地设备是否被植入木马：全盘扫描、重装系统或至少重置浏览器并清除扩展。
• 修改其他使用相同密码的账号密码（避免连锁反应）。

七、最后再说两句（速记版）

• 先开启TOTP两步验证；
• 先把备用码存好并换成独一无二的密码；
• 不信任的扩展、外链和“免费高级”都是雷区，别点。

把这篇收藏起来，按清单做一遍，花不了几分钟但能省很多懊悔。需要我把这份检查清单做成便于打印的简短步骤吗？需要我帮你把具体在哪点设置讲得更细（比如精确到P站设置页面）也可以跟我说你现在看到的界面截图文字，我来一步步带。