开启两步验证

在手机端设置中找到两步验证入口，设置一个六位数字。开启后，在新设备上验证号码时需要输入该数字，能显著降低号码被冒用的风险。建议每半年检查一次是否仍记得该数字，遗忘会导致重新验证时等待期延长。

打开登录通知

开启后，每当有新设备关联账号，手机端会收到提醒。这是发现异常关联最直接的手段。若你收到自己未操作过的关联通知，应立即在设备列表中移除该终端并修改两步验证码。

定期审计设备列表

建议每 30 天检查一次已关联设备列表。逐条核对终端名称、浏览器类型与最近活跃时间，对不认识的终端执行移除。移除后该终端立即失去访问能力，需要重新扫码才能恢复。

公共电脑的使用边界

在公共电脑上使用网页版，登录后应避免勾选任何保持登录的选项，使用完毕立即在手机端远程移除该设备，并清除浏览器中该站点的全部数据。即便如此，仍无法完全排除键盘记录类风险，敏感对话不建议在此类设备上处理。

退出登录与远程移除的区别

在网页端点击退出登录，只结束当前浏览器的会话；在手机端移除设备，是从账号层面撤销授权。设备丢失或转手时，应使用后者。两者都会导致该终端需要重新扫码，但远程移除更彻底。

多数用户只关注登录环节，但实际风险往往来自登录后的持续状态。以下五个细节在官方文档中描述简略，却直接影响账号安全。

一、浏览器会话与手机端会话的独立性

WhatsApp 网页版（web.whatsapp.com）在浏览器中维持一个独立的会话，与手机端会话并存。这意味着：在网页版退出登录，不会影响手机端的登录状态；反之，在手机端选择“从所有设备退出”，会强制结束网页版会话。理解这一点是审计设备列表的前提。

会话的有效期通常由服务端控制，一般不会因为关闭浏览器标签页而立即失效。多数情况下，除非主动点击“退出登录”或手机端移除设备，否则网页版会话会保持活跃。因此，在公共电脑上仅关闭浏览器窗口并不等于安全退出。

二、两步验证对网页版登录的实际作用

两步验证（Two-Step Verification）在网页版登录流程中表现为：输入手机号并请求验证码后，若账号已启用两步验证，系统会要求输入 6 位 PIN 码。该 PIN 码在首次启用时由用户设定，长度为 6 位数字。

需要明确的是：两步验证不能替代设备列表审计。已通过验证的浏览器会话不会因为 PIN 码变更而自动失效，除非手动移除设备。常见错误是认为“开了两步验证就万事大吉”，而忽略了清理不再使用的设备。

三、登录通知的触发条件与延迟

登录通知会在新设备首次关联时推送到手机端。触发条件包括：新的浏览器、新的操作系统配置文件、或清除浏览器数据后重新登录。同一浏览器在未清除数据的情况下重复登录，通常不会重复触发通知。

通知延迟一般在数秒到数十秒之间，取决于网络状况。如果手机端处于离线状态，通知会在恢复连接后送达。因此，在公共电脑登录后，建议等待通知到达并确认后再离开。

四、设备列表审计的频率与操作

设备列表位于手机端 WhatsApp 的“已关联的设备”页面（设置 → 已关联的设备）。该列表显示每个设备的操作系统、浏览器名称、最后活跃时间。建议审计频率为：每周一次常规检查，以及在以下场景后立即检查：在他人设备上登录、使用公共电脑、收到登录通知但非本人操作。

移除设备时，被移除的会话会立即失效，该浏览器下次操作需要重新扫码登录。但请注意：移除设备不会改变账号密码或 PIN 码，也不会撤销已发送的消息。

五、退出登录与远程移除设备的实际差异

退出登录（Log out）是在网页版界面主动结束当前会话，操作后该浏览器需要重新扫码。远程移除设备是在手机端设备列表中移除某个条目，效果与退出登录类似，但可以从手机端对任意设备执行，无需接触该设备。

两者的共同点是：都不会删除聊天记录（聊天记录存储在手机端），也不会影响其他设备的会话。差异在于操作入口和适用场景：退出登录适用于你正在使用的电脑；远程移除适用于你无法接触的设备，例如丢失的笔记本或忘记退出的公共电脑。

此外，浏览器缓存与本地存储可能保留部分会话元数据。在公共电脑上，建议在退出登录后清除该站点的 Cookie 与本地存储，以降低残留风险。多数浏览器可通过开发者工具（Application → Storage）或隐私设置完成清理。