上个月我帮一个刚入坑的朋友看账户，登录他的MT4一看，密码是手机号后八位，服务器上还挂着两个不知道哪来的EA——他说是之前下载模板时顺手点开的。我当时就有点后背发凉，这要真碰上撞库或者恶意EA，账户里那点保证金根本不够折腾的。后来花了一个多小时帮他把安全设置从头过了一遍，发现有些细节确实容易被新手忽略，索性把我自己平时用的加固流程整理一下，给刚接触这块的汇友参考。
先说最基础但也最容易糊弄的：主密码和只读密码千万别设成一样，而且主密码不要用生日、手机号这类能被社工猜到的组合。我自己的习惯是主密码用大小写字母加数字再加一个符号，长度不低于12位，只读密码单独设一个，方便自己在外网看盘又不想暴露交易权限。另外MT4/MT5登录界面那个“保存账户信息”选项，如果你用的是公共电脑或者VPS，建议不要勾，我早年就是因为图省事勾了，换机器时还得手动清配置文件。
接着是账户端的操作，按我自己的顺序列一下：
再说VPS这边，很多人只关注延迟，忽略了安全。我自己踩过的坑是：VPS的远程桌面密码和交易账户密码不要复用，而且RDP端口最好改掉默认的3389，关掉不必要的共享剪贴板。之前有一次我的VPS被扫端口，虽然没丢东西，但日志里一堆暴力尝试，从那以后我就把防火墙规则收紧，只放行自己常用的几个IP段。另外EA跑在VPS上时，别把带账户密码的配置文件明文丢在桌面，这习惯真得改。
最后提醒一句，定期导出账户历史并本地备份也是个容易被忽略的点，万一平台后台出问题或者账户被临时限制，至少手里有交易记录可查。我自己是每周五收盘后导一次，顺手核对一下点差和滑点有没有异常波动，也算半个监控。你们平时会专门去检查账户的安全设置吗，还是等出事了才想起来？
先说最基础但也最容易糊弄的：主密码和只读密码千万别设成一样，而且主密码不要用生日、手机号这类能被社工猜到的组合。我自己的习惯是主密码用大小写字母加数字再加一个符号，长度不低于12位，只读密码单独设一个，方便自己在外网看盘又不想暴露交易权限。另外MT4/MT5登录界面那个“保存账户信息”选项，如果你用的是公共电脑或者VPS，建议不要勾，我早年就是因为图省事勾了，换机器时还得手动清配置文件。
接着是账户端的操作，按我自己的顺序列一下：
- 开启两步验证——现在大部分正规平台后台都支持，绑定手机或验证器App，登录后台和出金时都会多一道验证，这一步优先级最高。
- 设置出金白名单——只允许自己名下的银行账户或钱包地址出金，能挡掉大部分盗号后的快速转移。
- 检查API和EA权限——把不认识的EA全部移除，尤其是来源不明的.ex4文件，别轻易给“允许实时交易”权限。
- 绑定登录IP或设备提醒——异地登录时能第一时间收到通知，我一般会把常用VPS的IP固定下来。
再说VPS这边，很多人只关注延迟，忽略了安全。我自己踩过的坑是：VPS的远程桌面密码和交易账户密码不要复用，而且RDP端口最好改掉默认的3389，关掉不必要的共享剪贴板。之前有一次我的VPS被扫端口，虽然没丢东西，但日志里一堆暴力尝试，从那以后我就把防火墙规则收紧，只放行自己常用的几个IP段。另外EA跑在VPS上时，别把带账户密码的配置文件明文丢在桌面，这习惯真得改。
最后提醒一句，定期导出账户历史并本地备份也是个容易被忽略的点，万一平台后台出问题或者账户被临时限制，至少手里有交易记录可查。我自己是每周五收盘后导一次，顺手核对一下点差和滑点有没有异常波动，也算半个监控。你们平时会专门去检查账户的安全设置吗，还是等出事了才想起来？
