账号安全 第2页

关闭标签页不一定结束服务器保存的登录会话；删除本地Cookie也不等于撤销已经发出的全部凭据。了解会话的生命周期，能帮助你更准确地检查退出功能。

外部工具调用WordPress接口时，不必共享主账户密码。应用密码提供可单独撤销的程序访问凭据，但仍需要管理归属和使用范围，不能创建后就不再检查。

把API密钥从代码挪到配置文件，是整理的开始。配置文件是否进入仓库、被Web访问或写进日志，仍会决定它是否泄漏。

如果一个账户只负责写文章，通常不必同时拥有安装插件和管理用户的权限。合理分配WordPress角色，可以让日常协作更清晰。

开启两步验证之后，账号仍可能因为手机遗失或恢复方式过期而无法访问。安全设置是否可用，需要同时检查日常登录和异常恢复。

密码管理器的价值在于帮助你为不同账户使用不同密码。开始迁移之前，先把主密码、恢复方式和设备保护安排好，避免只解决了记忆问题。

Agent能执行更多步骤，也意味着它可能接触更多账户、文件和外部服务。阅读功能公告时，权限边界应与能力演示一起看。