注册商账号掌握着域名的全部权限：改解析、改联系人、把域名转走。只靠一个密码，等于把域名交给了一次登录。

第 188 期讲过，域名挂在注册商账号里，谁能登录账号谁就控制域名。第 179 期讲的域名被盗，多数就是从账号被攻破开始的。

单个密码的问题在于它是一次性的：密码泄露一次，攻击者就长期有权限。泄露渠道很多——多个网站重复使用被撞库、钓鱼页面、木马、冒充客服套取。

双因素认证是在密码之外再加一道验证：短信验证码、动态口令应用、硬件密钥、指纹或面容。密码泄露了，攻击者还缺第二样。

几种第二因素的强度不一样：短信验证码可能被劫持或者补卡攻击，动态口令和硬件密钥更强。注册商支持哪几种，就选其中最强的那种。

它防不住所有情况——攻击者也可能连第二因素一起骗走。但它把“只凭一个密码就能拿走域名”变成了“需要两样东西”，成本完全不同。第 190 期讲的注册局锁定，是在这之上再加一层。