01加密到底保护了什么
它保证消息在传输途中和服务器上都是密文，只有你和对方能看懂。但它保护不了一台已经被别人控制的电脑。
消息在传输过程中是密文，中途截获也看不懂
服务器只负责转发，它自己也没有钥匙
如果电脑被远程控制，屏幕上显示的内容照样被看到
所以干净的使用环境，是加密生效的前提
加密解决的是消息在传输和存储过程中的保密问题，它没有办法约束一台已经被人控制的电脑。
02最需要防的两种情况
一是扫了别人给的二维码，二是在别人的电脑上用完没退出。这两种造成的损失最大，也最常见。
| 风险点 | 加密能保护吗 | 主要靠什么防 |
|---|---|---|
| 传输过程 | 能保护 | 加密协议本身 |
| 服务器存储 | 能保护 | 端到端加密 |
| 电脑上的插件 | 保护不了 | 保持环境干净 |
| 扫码授权 | 保护不了 | 不扫别人给的码 |
| 登录设备列表 | 保护不了 | 定期检查 |
别人发来的二维码，扫了等于把登录权限交给对方
陌生网站上放的二维码，同样不能扫
在公共电脑上不退出登录，等于长期对外开放
离开前应该退出，并在手机上确认设备已移除
扫描别人提供的二维码，本质上就是把发起授权的机会交给了对方，这是所有情况里损失最大也最难追回的一类。
03电脑环境的风险在哪里
风险主要来自浏览器插件。插件能读取页面上显示的内容，这一步发生在加密之外，加密管不到。
插件可以往页面里注入代码，读到显示的内容
会改写请求的插件，还可能让登录反复失败
来路不明的输入法同样有风险
浏览器保持更新，可以减少已知漏洞
在公共电脑上正确的做法是手动点退出登录，并且在离开之前确认设备列表里已经没有这台机器。
04自己怎么快速检查一遍
看设备列表、核对接入时间、收窄可见范围，三步走完，大部分异常都能发现。
在手机的已关联设备里，看有没有陌生的机器
核对接入时间，集中在短时间内的要重点关注
把头像和在线时间设为仅联系人可见
如果异常反复出现，换一台干净电脑再试
浏览器插件的权限通常比想象中大得多，安装之前那条权限提示值得认真看一遍，而不是直接点同意。
05术语与口径
- 端到端加密
- 只有收发双方能解密的加密方式，服务器也看不到
- 插件
- 安装在浏览器里、可以修改网页内容的小程序
- 登录残留
- 没有正常退出而留在电脑上的登录状态
06常见问题
网页版比手机更不安全吗
传输上的安全性是一样的。区别在于电脑上的环境更复杂，插件和软件更多，出问题的机会也更多。
公司网络能看到聊天内容吗
看不到内容。但能看到你连接了哪个网站、流量有多大，这些信息本身不涉及聊天内容。
用完关掉浏览器就安全了吗
不够。关掉只是断开连接，还要在手机上确认那台设备已经从列表里移除，或者手动点退出登录。
公司网络能看到聊天内容吗
看不到内容，但能看到连接的目标地址与流量特征。
补充说明
- 10月29日 内容加密的范围没有变化，环境风险依然在加密之外
- 10月29日 扫来源不明的二维码，仍然是损失最大的一类情况
- 10月29日 公共电脑上不退出登录，等同于长期对外开放
- 10月29日 恶意插件能读到页面内容，加密覆盖不到这一层
- 10月29日 会改写网页请求的插件，应一律关闭
- 10月29日 定期检查登录设备，能发现绝大多数异常
- 10月29日 接入时间集中在一小段时间内的，最值得复核
- 10月29日 关掉浏览器不等于退出登录，需要手动操作
准备好开始了吗
先确认手机已更新到最新版本、网络稳定，再打开浏览器操作。整个过程只需一次设置，之后每次打开就能直接继续。