Hapitas 的安全问题已经过时，积分兑换应改用通行密钥

Hapitas 兑换积分时会验证什么？

自 2025 年 8 月 18 日调整流程以来，Hapitas 在积分兑换时也要求回答安全问题。官方电脑版指南按以下顺序说明验证步骤。

1. 安全问题输入之前设置的答案。
2. 手机号验证使用绑定的号码，通过短信或语音通话获取验证码。
3. 账号密码核对兑换信息，输入登录密码提交申请。

安全问题的答案和密码都依赖用户知道的信息。手机号验证用于确认你能使用绑定号码。在通过 Digital Gift 兑换现金的示例中，领取邮件在提交申请之后发送，用于领取礼品。操作截图可从积分兑换指南的第 ⑤ 步查看。

用安全问题确认积分兑换，已经过时

兴趣爱好或宠物名字可能通过社交媒体或日常聊天被别人知道。本人也可能忘记几年前输入答案时的具体写法。Hapitas 的答案最多只能输入 10 个平假名字符。好记的答案可能容易猜，难猜的答案又得像密码一样单独管理。

钓鱼网站可以伪造兑换页面，同时骗取安全问题的答案和短信验证码。验证绑定号码有其作用，但增加一道安全问题，并不能阻止假网站收集用户输入的信息。要保护积分，Hapitas 应重新审视这种要求用户再回想一个旧答案的设计。

Moppy 的做法有何不同？为什么应该改用通行密钥？

Moppy 在首次申请兑换积分等情况下，会要求注册并比对人脸信息。Hapitas 的官方兑换指南列出安全问题、手机号验证和账号密码，未列出人脸验证。

Hapitas 应采用通行密钥。通行密钥使用与注册网站绑定的加密凭据，用户可通过设备上的面容、指纹或 PIN 码批准使用。假网站无法使用为官方网站注册的凭据，因此通行密钥能防范诱导用户输入密码或短信验证码的钓鱼攻击。

可以先支持用通行密钥登录，再让用户核对兑换去向和金额后，用通行密钥确认申请。还应完善更换或丢失设备后的账号恢复流程，然后停用安全问题。如果凭一个容易猜到的答案就能恢复账号，攻击者仍可以从这里入手。

现在能做的事：加强账号密码

1. 为 Hapitas 单独设置密码。 如果密码与其他网站相同，或只是改了末尾，就把它换掉。
2. 用密码管理器生成并保存。 在设置页面允许的范围内，尽量使用较长的随机密码。
3. 从官方网站开始修改。 自行打开 Hapitas，在账号资料设置中修改密码，再按收到的确认邮件完成验证。

使用独立密码可以降低其他网站泄露的密码被用来尝试登录 Hapitas 的风险。即使是强密码，输进假网站也会被盗。在输入密码、短信验证码或安全问题的答案前，先确认自己打开的是哪个网站。