Mac 安全：这几件事做到，基本不会出事

01先说结论：普通用户该做什么

Mac 安全不需要你成为安全专家，也不需要安装一堆杀毒软件。以下六条做到，你的 Mac 安全性就已经超过了绝大多数用户。

1. 1
   保持系统更新

   这是最重要的一条，没有之一。Apple 每次系统更新都会修复已知的安全漏洞，不及时更新就等于把门打开等别人进来。开启「自动更新」中的安全更新选项，系统会在后台自动下载并安装安全补丁，不需要你手动操作。

2. 2
   开启 FileVault 磁盘加密

   FileVault 会把整块硬盘加密，即使 Mac 丢失或被盗，别人也无法读取你的数据。它使用硬件加速加密，对日常性能几乎无影响。开启时系统会生成一个恢复密钥，务必记下来或存到安全的地方（如 iCloud 钥匙串）。

3. 3
   开启防火墙

   macOS 防火墙会拦截不必要的入站连接，防止外部设备探测你机器上运行的服务。默认可能已开启，但建议确认一下。防火墙不影响你正常使用网络，只是阻止未经请求的外部连接。

4. 4
   用密码管理器，别用同一个密码

   如果你在 100 个网站上用同一个密码，只要一个网站泄露了密码，黑客就能用它登录你所有的账号。密码管理器可以帮你为每个网站生成并记住不同的强密码。macOS 自带密码 App（原钥匙串）就够用，跨平台需求可以用 1Password 或 Bitwarden。

5. 5
   只从官网或 App Store 下载软件

   绝大多数 Mac 安全问题都来自从不可信来源下载软件。养成在 App Store 或软件官网下载的习惯，比任何杀毒软件都有效。搜索软件时认准官方域名，不要点搜索结果里的广告链接。

6. 6
   开启双重认证（2FA）

   所有重要账号都应开启双重认证：Apple ID、邮箱、银行、支付平台。即使你的密码泄露了，黑客也无法登录——因为他们没有你的第二重验证（手机验证码、硬件密钥等）。Apple ID 的双重认证尤其重要，它能防止别人用你的账号锁定你的设备。

02系统更新：安全补丁不要拖

macOS 的更新分为两种：功能更新（如从 macOS 14 升级到 15）和安全更新（小版本修复）。功能更新可以等几周再看别人反馈再升，但安全更新——即版本号后面的数字变化——应该尽快安装。

安全更新修复的是已经被发现并可能被利用的漏洞。Apple 的安全公告页面（support.apple.com/kb/100147）会列出每个更新修复了哪些漏洞。有些漏洞可能已经被黑客利用（称为「零日漏洞」），Apple 在发现后会紧急发布补丁。不及时更新，等于你的机器暴露在这些已知漏洞下。

1. 1
   开启自动安全更新

   系统设置 → 通用 → 软件更新 → 自动更新 → 勾选「自动安装 macOS 更新」。系统会在后台下载并安装安全补丁，你只需要偶尔重启一下电脑。

2. 2
   定期检查更新

   即使开启了自动更新，也建议每周手动检查一下：系统设置 → 通用 → 软件更新 → 如果有可用更新，点「立即更新」。有些更新需要重启才能生效。

3. 3
   大版本更新可以等

   macOS 15 → 16 这样的大版本更新，建议等几周看用户反馈再升。新系统可能存在兼容性问题（某些软件暂时不兼容）或性能问题。但安全更新（如 15.3 → 15.3.1）不要等，尽快安装。

03FileVault 与防火墙：基础但关键的两层保护

FileVault 和防火墙是 macOS 内置的两大安全功能，默认可能已部分开启，但很多人从未手动确认过。花两分钟检查和开启它们，能显著提升数据安全。

1. 1
   开启 FileVault

   系统设置 → 隐私与安全性 → FileVault → 打开。系统会提示你选择是否用 iCloud 账号解锁（方便但安全性略低）或使用恢复密钥（更安全但需要自己保管）。建议选择「创建恢复密钥」并妥善保存。开启后磁盘会开始加密，需要几分钟到几十分钟（取决于数据量），期间正常使用不受影响。

2. 2
   开启防火墙

   系统设置 → 网络 → 高级 → 防火墙 → 打开。开启后系统会自动拦截未经请求的入站连接。如果你需要让特定应用接收外部连接（如 FTP 服务器、远程桌面），可以点「+」添加应用到允许列表。普通用户保持默认设置即可。

3. 3
   确认 SIP 状态

   SIP（系统完整性保护）是 macOS 的核心安全机制，它会阻止未经 Apple 签名的代码修改系统关键区域。终端运行「csrutil status」查看状态。如果显示「enabled」就正常；如果显示「disabled」，说明有人关闭了它，建议重启进入恢复模式重新开启。

04密码管理：从「一个密码走天下」到「每个网站都不一样」

密码安全是最容易被忽视、也最容易出问题的环节。以下是不同复杂度的用户应该采取的策略。

1. 1
   生成强密码

   强密码至少 16 位，包含大小写字母、数字和特殊符号。如果你手动设置，用「句子缩写+数字+符号」的方式，比如「MyMacBook!Pro2024?Secure#」比「Pass1234」安全得多。更好的方式是用密码管理器的「生成密码」功能，一键创建随机强密码。

2. 2
   开启双重认证

   在密码之外增加第二重验证。Apple ID 使用 Apple 自带的双重认证（验证码发送到你的 Mac/iPhone/备用手机号）；其他网站使用 TOTP 验证器（如 Google Authenticator、Microsoft Authenticator、1Password）或硬件密钥（如 YubiKey）。

3. 3
   定期更换核心密码

   Apple ID、邮箱、银行等核心账号的密码，建议每 6–12 个月更换一次。不要在多个网站重复使用同一个密码。如果某个网站发生数据泄露，立即更换该网站的密码。

4. 4
   使用 macOS 密码 App

   系统自带密码 App（原钥匙串）可以自动保存和填充密码。它集成在 Safari 和系统登录中，非常方便。数据存储在 iCloud 钥匙串中，端到端加密。免费且安全，轻度用户完全够用。

05下载软件的安全注意事项

绝大多数 Mac 恶意软件的传播方式是「社会工程学」——不是黑客攻破你的系统，而是你主动下载安装了恶意软件。Gatekeeper（闸门守护）是 macOS 的第一道防线，它会检查每个 App 是否来自已知的开发者签名。

Gatekeeper 的工作原理是：所有从 App Store 下载的应用都经过 Apple 审核签名；从网站下载的 dmg/pkg 文件会检查是否有有效的开发者证书。没有签名的应用会被阻止打开，并提示「无法验证开发者」。

1. 1
   优先从 App Store 下载

   App Store 的应用经过 Apple 审核，安全性远高于第三方渠道。即使是免费软件，也优先在 App Store 找。如果某款软件只在官网提供（如 Chrome、Figma），直接访问官网下载。

2. 2
   认准官方域名

   搜索软件名时，认准带 https 和官方标识的域名。常见安全软件的官方域名：Google Chrome（google.com/chrome）、Figma（figma.com）、Slack（slack.com）、Spotify（spotify.com）。不要点搜索结果第一位的广告链接——那可能是仿冒网站。

3. 3
   dmg 安装时注意弹窗

   dmg 安装包打开后，把应用拖进「应用程序」文件夹。如果系统提示「无法验证开发者」，去系统设置 → 隐私与安全性 → 底部点「仍要打开」。这不是关闭安全保护，只是确认你信任这个来源。

4. 4
   pkg 安装包要警惕

   pkg 是系统级安装包，可以安装到任何位置，权限更大。只从软件官网下载 pkg，不要下载来路不明的 pkg。有些恶意软件伪装成「系统更新包」或「Flash 播放器」，诱导你安装。

5. 5
   别关闭 Gatekeeper

   如果系统提示「已损坏」或「无法验证开发者」，重新下载即可——通常是下载不完整导致签名校验失败。不要为了绕过 Gatekeeper 而关闭系统保护，除非你 100% 确定自己在做什么。

06这些事不用做：避免安全焦虑

网上有很多关于 Mac 安全的夸大说法，容易制造焦虑。以下是几件普通用户不需要做的事，帮你少走弯路。

• 不需要常驻杀毒软件——macOS 内置的 XProtect 和 Gatekeeper 已经覆盖了绝大多数场景。实时监控类的杀毒软件反而会拖慢系统速度，甚至误删系统文件。
• 不需要清理「病毒」——Mac 上几乎没有普通用户会遇到的病毒。常见的是广告软件和浏览器恶意插件，它们靠「你主动安装」传播。养成好习惯比装杀毒更重要。
• 不需要买「Mac 清理加速」类工具——它们大多在制造焦虑，实际效果有限，反而可能删掉系统需要的缓存和配置文件，导致系统不稳定。
• 不需要定期「深度杀毒扫描」——macOS 没有 Windows 那种需要定期全盘扫描的病毒生态。XProtect 会在后台静默工作，你不需要手动触发扫描。
• 不需要为每个软件都开防火墙规则——macOS 防火墙默认配置已经很安全。除非你运行服务器或需要远程访问，否则不需要手动调整防火墙规则。
• 不需要在公共 Wi-Fi 上使用 VPN 来「防黑客」——Mac 的网络安全机制（HTTPS、证书验证）已经足够保护你的数据。VPN 更多用于访问被屏蔽的网站或隐藏 IP，不是 Mac 安全的必需品。

07Mac 丢失或被盗后的应急措施

即使做了所有安全措施，Mac 还是可能丢失或被盗。以下是你应该立即做的事，按优先级排列。

1. 1
   用「查找」锁定设备

   打开另一台 Apple 设备上的「查找」App，或访问 icloud.com/find → 选择你的 Mac → 点「丢失模式」。这会远程锁定你的 Mac，需要输入密码才能解锁。同时可以显示一条联系信息，方便拾到者归还。

2. 2
   远程擦除数据（如必要）

   如果确认 Mac 无法找回，且数据敏感，可以在 icloud.com/find 中选择「抹掉此 Mac」。这会远程擦除所有数据并恢复出厂设置。注意：擦除后你将无法再通过「查找」定位这台 Mac，且数据不可恢复。所以执行前确保 iCloud 和 Time Machine 有最新备份。

3. 3
   更改 Apple ID 密码

   系统设置 → Apple ID → 密码与安全性 → 更改密码。如果 Mac 上有你的 Apple ID 登录状态，别人可能用你的账号下载应用或访问 iCloud 数据。更改密码后，Mac 上的登录状态会自动失效。

4. 4
   通知银行和相关服务

   如果 Mac 上有保存的银行登录信息、支付密码或敏感工作文件，联系相关机构冻结账户或更改密码。虽然 FileVault 会加密硬盘，但以防万一，多一步确认更安全。

08安全设置速查清单

如果你不想看前面的详细内容，下面这份速查清单可以定期对照检查，确保所有安全措施都已到位。

• ✅ 系统设置 → 通用 → 软件更新 → 自动更新已开启
• ✅ 系统设置 → 隐私与安全性 → FileVault 已开启
• ✅ 系统设置 → 网络 → 防火墙已开启
• ✅ 系统设置 → Apple ID → iCloud → 双重认证已开启
• ✅ 密码管理器已安装并使用（密码 App 或第三方）
• ✅ 所有重要账号已开启双重认证（2FA）
• ✅ Gatekeeper 和 SIP 保持开启（终端 csrutil status 确认）
• ✅ 系统设置 → 隐私与安全性 → 分析与改进 → 已关闭
• ✅ 系统设置 → 隐私与安全性 → 广告 → 已关闭「允许应用请求跟踪」
• ✅ iCloud 存储空间充足，照片和文档已同步
• ✅ Time Machine 备份已完成且可恢复
• ✅ Apple ID 恢复密钥已安全保存
• ✅ 重要网站密码不在多个平台重复使用
• ❌ 不要关闭 Gatekeeper 或 SIP 来安装软件
• ❌ 不要安装来路不明的 pkg 或 dmg 文件
• ❌ 不要使用同一个密码在多个网站
• ❌ 不要在公共电脑上保存密码
• ❌ 不要忽略系统更新提示

FAQ常见问题