腾讯云账号购买后第一天做这五步安全加固：改密、绑MFA、登录与操作保护、CAM子用户、不建主账号密钥

完成 腾讯云账号购买 或腾讯云代开之后，很多人拿到账号就直接开 CVM、Lighthouse，安全设置一拖再拖。可主账号对名下所有资源、余额和权限都有完全控制权，一旦密码或密钥泄露，损失的往往是整个账号。本文按腾讯云国际站（tencentcloud.com）官方文档，把接手当天该做的五步加固整理成清单，大约半小时能做完。

说明：云大仙是第三方渠道服务商，不是腾讯云官方，也不是腾讯云官方授权代理。下文规则引自腾讯云国际站帮助文档（链接见文末），控制台菜单名称以你账号实际看到的为准；云大仙自身的价格与交付规则单独标注。

一、先给结论：五步各防什么风险

二、第一步：改密码，核对账号归属信息

云大仙交付的是 tencentcloud.com 独立主账号，不是共享账号或 CAM 子用户，交付后可以自行修改密码、邮箱与 MFA（见 腾讯云国际开户与代开页面）。接手后建议按这个顺序操作：

1. 登录 tencentcloud.com 控制台，先核对账号 ID 与主账号身份，并保存本次订单号与链上 TxID。
2. 进入账号中心的安全设置，修改登录密码，使用只用于这个账号的强密码，不要和其他平台复用。
3. 确认联系邮箱和接收通知的方式是你自己能长期收到的，后面的验证码、账单和安全通知都会发到这里。

腾讯云的安全实践文档也建议定期更换登录密码或 API 密钥，这样即使凭据泄露，可被利用的时间也有限。

三、第二步：绑定虚拟 MFA

按官方《绑定虚拟 MFA 设备》文档，腾讯云的虚拟 MFA 支持 Google Authenticator、Microsoft Authenticator 等符合 TOTP 标准的应用，步骤如下：

1. 登录控制台，进入安全设置页面。
2. 在「账号保护」模块找到虚拟 MFA，点击绑定。
3. 按弹窗提示完成身份验证。
4. 在手机上安装 Authenticator 应用，点击「+」后选择扫描二维码，扫描绑定页面上的二维码。
5. 在绑定页输入应用显示的 6 位动态码。如果应用里已经有多个账号，注意选对当前账号对应的那一组。
6. 设置启用范围（登录保护 / 操作保护），提交即完成绑定。

注意：官方说明，如果要更换 MFA 设备，需要先解绑当前的虚拟 MFA，再绑定新设备；而解绑后，登录和操作保护中的 MFA 校验会自动关闭，换设备期间要尽快重新绑定。

四、第三步：开启登录保护与操作保护

官方《账号保护》文档把二次验证分成两类：

• 登录保护：开启后，登录腾讯云官网时需要额外的身份验证，即使密码被盗，别人也无法直接登录。
• 操作保护：开启后，修改登录方式、修改密码、更换验证手机号等敏感操作前，必须先完成身份验证。

验证方式可选 U2F 安全密钥、虚拟 MFA、短信验证码或邮箱验证码。U2F 需要先绑定安全密钥且只支持 PC 端；选择虚拟 MFA 则需要先完成上一步的绑定。对通过邮箱登录的账号，腾讯云安全实践文档强烈建议开启 MFA 二次验证。

两个细节值得知道：敏感操作的验证结果有效期为 60 分钟，超过后再做敏感操作需要重新验证；如果登录保护和操作保护都开启，登录时已完成二次验证，那么登录后 60 分钟内做敏感操作不会再次触发验证。

五、第四步：日常操作改用 CAM 子用户

腾讯云访问管理（CAM）的安全实践建议：不要用主账号身份凭证访问腾讯云，也不要把凭据分享给他人，应为每个需要访问的人创建子账号，并按需授予权限。落地时可以这样拆：

• 按人建子用户：运维、开发、财务各用自己的子用户，不共用一个账号。
• 最小权限：只需要对象存储（COS）的人，就不要授予 CAM 读写等无关权限。
• 分开管理人、权限和资源：官方建议同一个子账号不要同时管理用户、权限和资源。
• 控制台用户和程序用户分开：只在控制台操作的子用户设置登录密码即可；只通过 API 访问的子用户只创建访问密钥，不要给同一个 CAM 用户同时配置两者。
• 子用户也开保护：子用户的登录保护和操作保护需要由主账号或有管理权限的账号在 CAM 中设置。

需要说明的是，按腾讯云文档，子账号创建或修改的资源仍属于主账号，费用也从主账号扣除。所以加固主账号依然是第一位的，子用户只是降低日常操作的风险。

六、第五步：不建主账号 API 密钥，只给程序子用户发密钥

官方《定期轮换访问密钥的安全建议》写得很直接：强烈建议不要创建或使用主账号密钥，因为主账号密钥对账号内所有资源（包括资金、用户权限和数据）拥有完全控制权，一旦泄露，影响是全局性的，而且权限无法快速收回。

需要调用 API 或接入 SDK 时，建议这样做：

1. 为程序单独创建一个只用于 API 的 CAM 子用户，并只授予它需要的权限。
2. 在 CAM 控制台的用户详情页进入「API 密钥」，点击新建密钥。
3. 立即保存 SecretId 和 SecretKey。官方说明自 2023 年 11 月 30 日起，SecretKey 只在创建时显示，之后无法再查询。
4. 每个子用户最多可以有两个 API 密钥，可以利用这一点做轮换：先建新密钥并替换到业务中，确认旧密钥不再被调用后先禁用，观察无异常再删除。
5. 官方建议子账号密钥至少每 90 天轮换一次，敏感业务可以更频繁。
6. 不要把密钥直接写进业务代码或提交到代码仓库，应放在独立的加密配置或密钥管理系统里。

如果接手的账号里已经存在主账号密钥，可以在 CAM 概览页下载用户凭证报告，核对现有密钥的状态和使用情况，确认业务不依赖后再处理。

七、MFA 手机丢了怎么办

官方 MFA 常见问题给出两种办法：如果你还有另一个腾讯云账号，可以登录该账号提交解绑工单；如果没有，可以通过官网底部的「联系我们」提交工单。个人账号解绑需要提供登录邮箱、证件上的姓名与护照或驾照号码、当前使用的手机号，而且这些信息必须与实名验证时填写的信息一致；企业账号还需要公司名称、公司证件号码和营业执照等材料。

这意味着：账号的实名信息最好和实际使用人一致，否则 MFA 丢失时很难走官方解绑流程。这也是不建议购买来路不明成品号的原因之一。绑定 MFA 时，建议同时在 Authenticator 中启用备份或云同步，并把账号 ID 与交付记录保存好。

八、接手当天的验收清单

• 已核对账号 ID 与主账号身份，订单号和链上 TxID 已保存。
• 登录密码已修改，联系邮箱可正常收信。
• 虚拟 MFA 已绑定，登录保护和操作保护均已开启。
• 已为日常操作创建 CAM 子用户，权限按最小原则授予。
• 主账号没有在用的 API 密钥，程序调用使用独立的程序子用户密钥。
• 已在费用中心核对可用余额，再去目标地域开 Lighthouse 或 CVM 实例试用。

九、云大仙的腾讯云代开与充值口径

云大仙提供腾讯云国际站代开与原位充值：无需自行绑定海外 Visa / MasterCard，支持 USDT（TRC20 / ERC20 / BEP20）$30 起充；充值 30U 送非实名账号，单次充值 50U 及以上送实名账号；已有腾讯云国际账号可按账号 ID 原位续费。实付金额与入账面值以自助平台当次订单页显示为准，资源费用按腾讯云国际站计费规则扣除。详情见 腾讯云账号购买与国际站代开；如需对比阿里云，可看 阿里云账号购买与代开。

相关阅读：腾讯云代开流程与交付验收、腾讯云国际站身份验证规则、腾讯云账号购买避坑指南。

官方参考来源

1. Binding a Virtual MFA Device（绑定虚拟 MFA 设备）
2. Account Protection（登录保护与操作保护）
3. MFA FAQs（MFA 常见问题）
4. CAM Security Practical Tutorial（访问管理安全实践）
5. Security Recommendations for Regularly Rotating Access Keys（访问密钥轮换建议）
6. Sub-Account Access Key Management（子账号访问密钥管理）

文档核对日期：2026-11-10。腾讯云规则可能调整，请以官方最新文档和控制台实际显示为准。