Firefox 的密码管理、反跟踪和 HTTPS 分别保护账号、网页行为与网络传输。把它们当成不同层的防护，才不会看到一个盾牌图标，就误以为输入的任何信息都安全。

这则消息带来的提醒

Mozilla 于2026年10月6日发布了一篇免费安全功能说明，重新介绍 Firefox 已有的防护工具。这是功能梳理，并非今天发布的新版本，也不是独立安全测评。本文聚焦三个日常浏览环节，不展开原文中其他服务的地区、套餐和可用性。

它的实际意义在于：浏览器已经提供不少低摩擦的防护，但“有功能”与“解决我的风险”之间仍需一次对应。密码复用、跨站追踪和连接被窥视是三个问题，不能用同一个开关回答。

独立密码把损失限制在一个账号

Firefox 的密码管理器可以保存和自动填充登录信息，也可以生成密码。具体保存提示及入口以当前版本为准；共享设备上的登录信息管理，还需要考虑设备访问权限。

假设三个互不相关的网站使用同一密码。某个网站泄露凭据后，风险会沿着“复用关系”扩散。为每站使用独立密码，切断的是这条关系，而不是让单个网站永远不会发生泄露。这个例子是风险分析，不是一次真实攻击实验。

这里容易出现一个误解：把密码改得很复杂，却继续在多个地方复用。复杂度和独立性回答不同问题。另一个边界是设备本身：能访问你已解锁会话的人，仍可能接触账号或数据；密码管理器不能替代锁屏、系统更新和网站自身的账号保护。

反跟踪减少关联，不等于匿名

Mozilla 的增强型跟踪保护文档说明，Firefox 会限制已知追踪器及部分跨站跟踪机制。Standard、Strict 与 Custom 的覆盖范围不同，因此“开着保护”不代表所有模式行为一样。

可以把追踪理解为把多次访问拼成同一个人的轨迹。阻止部分拼接渠道，有助于减少无关网站之间的关联。但主动登录同一个账号、提交自己的资料，仍然是在提供可关联信息。浏览器无法让服务端忘掉你主动交给它的内容。

对开发者而言，排查第三方登录、视频或嵌入组件时，应先确认究竟哪个请求、存储或组件受影响。不要仅凭一次页面异常，就推断浏览器功能失效；也不要把更严格模式下的兼容性代价当成所有用户都会遇到的结果。

HTTPS保护途中，无法替网站担保

HTTPS-Only 模式会尝试使用 HTTPS；无法建立相应安全连接时，Firefox 会显示提示。HTTPS 的核心用途是保护浏览器与对应服务器之间的传输，而非证明网页的经营者诚实。

例如，一个页面通过 HTTPS 接收表单，连接途中有加密保护，表单接收方仍然会获得你提交的内容。加密解决的是传输环节，是否应提交信息还要看域名、用途和接收方。不要因为地址栏有安全连接标识就忽略这些判断。

把连接问题与网页可信度分开，也有助于技术排障。证书、协议和网络故障是一类检查；网站声称的服务是否可靠是另一类判断。本文没有绕过安全提示的操作步骤，也没有测试任何真实网站的安全性。

先找暴露面，再选设置

如果关心账号泄露后波及其他服务，先检查密码复用；如果关心不同网站拼接浏览轨迹，检查反跟踪设置；如果关心明文连接，检查 HTTPS。这样的顺序比把所有开关调到最严格，更容易理解收益与代价。

可以做一个不涉及真实账号的桌面推演：画出“登录信息→网页脚本→网络连接”三个节点，逐一写下谁能看到什么。仍不知道答案的节点，就是下一步要查证的地方。图里的三层并不是概率模型，不能相加得出一个安全分数。

这篇解读没有提供拦截率或性能提升数字，因为没有做浏览器实测。版本、平台及组织管理策略可能影响实际界面和可用功能，应以自己安装的版本与官方说明核对。

Read the English version

来源与时间

• Mozilla — October 6, 2026 overview
• Firefox Password Manager
• Enhanced Tracking Protection
• HTTPS-Only Mode

本文于2026年10月13日补发，文章日期保留计划的北京时间11:30。新闻公告早于该时段；制作时核对官方文档，不将后来版本发布回填成较早事件。