“你找回密码了？那新密码发到哪了？”每次被问到这个问题，我就忍不住想起自己当年那场乌龙。我记得很清楚，那是我大学的时候，我的Steam账号被莫名其妙盗了。我用了官方的找回功能，填了邮箱，然后就开始死盯着手机，等着一条写着新密码的短信或者邮件。结果呢？等了一晚上，邮箱里只有一封标题是“Steam账户恢复请求”的邮件。我打开一看，里面压根没有密码，只有一个“重置密码”的链接。我当时还纳闷：这算怎么回事？密码没发过来，这链接靠不靠谱？
后来我才明白，Steam压根就不发密码。它通过那种链接，让我自己去设置一个新密码。说实话，知道真相的那一刻，我既高兴又觉得自己蠢。从那以后，遇到再有朋友问我“密码发哪里”，我就会想起我自己这段经历。今天就把这件事掰开来聊聊，我自己就迷糊过。
我邮箱里收到的重置邮件长什么样
后来我专门用小号测试了一遍。点击“找回”后不出三分钟，邮件就来了。发件地址是noreply@steampowered.com，邮件标题是“您的Steam账户恢复请求”。正文是简洁的英文，内容大概就是“您请求重置密码，点击下方链接即可重置”。没有附件，没有要回复的信息，只有一个蓝框白字的按钮。点击后跳转到steampowered.com的重置页面，输入新密码，然后就完事了。
所以当有人问我“密码发哪里”时，我觉得他们真的是在期待一封写着密码的邮件。但是，我收到的邮件里确实没有任何密码，只有一个链接。所以这个问题本身就是错的。
我收不到邮件时的操作
我也有好几次申请后没收到邮件。一开始我以为是系统没处理，就反复点发送，结果还是没动静。后来我检查了垃圾邮件，发现它被归类到了垃圾箱。也有一次我用的QQ邮箱，它把邮件直接丢进了“订阅邮件”文件夹，要不是我专门去看，根本不会发现。
还有一次我注册时填的邮箱已经是几年前用的，早就登不上了。那一次我只能走人工通道，花了一周时间申诉回来。后来我学乖了，每次换邮箱都会及时更新Steam上的绑定信息。
是什么让我明白Steam这样做的理由
起初我还有点不爽，觉得发个密码多省事啊，整那么复杂。但后来我在其他网站上遇到过直接把密码发过来的情况，瞬间就觉得Steam的做法才是真的为安全着想。密码如果通过邮件发送，那邮件一旦被黑或者有人偷看了我的邮箱，密码就泄露了。而重置链接和自行设置密码的方式，至少保证了新密码只有我知道，而且邮箱只是中转，并不存储密码本身。
冒充Steam的钓鱼邮件
了解这些以后，我再看到那些号称“Steam发来密码”的邮件就只想笑。我身边就有人因为点击了这种邮件里的链接，账号被盗了。那些邮件做得相当逼真，但是有一个致命破绽：它们直接写了一个密码在正文里。而我知道，真正的Steam不会这么干。从那以后，我只要看见正文里带密码的所谓“Steam邮件”，就直接删掉。
现在，每次我重新登录我的Steam账号，都会想起那个瞎等的夜晚。密码发哪里？这个问题本身就错了——密码从来不曾离开过我的掌控，它只是暂时被我忘记了而已。
