把一次性密码或密钥写进邮件正文发出去，发件箱、备份和邮箱管理员还可能留下什么
把一次性密码写进邮件正文后，明文会进发件箱和收件箱。STARTTLS 只护住单跳。Gmail 垃圾箱可留 30 天，Exchange 可恢复项默认 14 天。企业归档、Vault 和 Purview 仍可能检索正文。机密模式到期后发送方组织的 Vault 仍可保留。对照发件箱核对。口令改走阅后即焚，打开即用。
BLOG
本地加密与阅后即焚原理：能当场核对的笔记
这里写长尾问题：在线加密会不会上传明文、密码强度检测覆盖什么、阅后即焚链接 # 后面的密钥为什么不进 HTTP。不是产品介绍，也不替代各工具页的操作说明。
已发布的笔记
每条卡片的标题和摘要会与对应文章一致。没有详情页的选题不会出现在这里。
把敏感文件打成带密码的 ZIP 再外发，默认加密、文件名和未加密条目还可能留下什么
打了密码的 ZIP 不等于整包都锁住。对照 PKWARE 把传统加密写成弱、WinZip 允许同一包混用未加密条目，以及 7-Zip 用 7z l -slt 能直接读出 Method 和文件名。用金丝雀包当场核对。打开即用。
把登录口令点了浏览器的「保存」，云同步和导出 CSV 还可能留下什么
点了「保存密码」不等于只留在这台电脑。对照 Google 默认把解密密钥放在账号里（设备端加密和同步口令是另两道开关），以及 Chrome、Edge、Firefox 都把导出 CSV 写成不受保护的可读文本。用一次性条目核对接力设备和下载文件夹。打开即用。
把刚复制的密码留在系统剪贴板，云同步和历史记录还可能留下什么
按 Win+V 或看对面那台已登录的手机：复制密码不等于只在当前窗口转一手。对照 Microsoft 剪贴板历史（25 条、4 MB、重启清除但钉选留下；跨设备同步会上传到云，Graph 写明默认最长 12 小时）和 Apple 通用剪贴板（同一 Apple 账户、10 米内、片刻或被下一次拷贝取代）。密码管理器清本机槽，清不掉已经同步出去的副本。用一次性金丝雀当场核对。打开即用。
把未加密文件直接丢进网盘，服务商、同步客户端和秒传还可能看到什么
HTTPS 和网盘写的「已加密」挡不住服务商读明文。对照 AWS SSE-S3、Google Drive 默认 AES-256 和 iCloud 标准数据保护：钥匙在对方数据中心。秒传看内容哈希，在线预览要解出原文。先在本机用 AES-256-GCM 打成 .lock 再上传，口令走另一条通道。打开即用，文件不上传。
把密码或 API 密钥贴进 ChatGPT，这次会话和训练侧还可能留下什么
把密码或 API 密钥贴进 ChatGPT，原文会进会话历史；关掉「为所有人改进模型」只停训练，不擦历史。临时对话仍可能留 30 天供安全审查。记忆、资料库和分享链接是另外几份副本。对照 OpenAI 数据控制说明，分清删对话、关训练、临时对话。贴之前先在本机掩码，打开即用。真实密钥须先作废。
把工单或聊天记录外发出去前，规则脱敏能遮住什么、遮不住什么
工单和聊天里的手机号、身份证、卡号、邮箱和密钥，贴出去会进历史、日志和对方系统。对照公民身份号码国标校验、银行卡 Luhn 与 OWASP 日志清单，说清规则能认哪六类字段、为什么会漏姓名地址和口述数字。掩码不是匿名化。处理在本机完成，打开即用。重要外发仍须人工复核，可用金丝雀在 Network 核对。
阅后即焚链接读完一次后，服务端还剩什么
阅后即焚不是「链接还在内容就还在」。对方点确认并取回密文后，服务器按设定次数删除密文；再打开同一编号会看到 410。密钥在 # 后，不进 HTTP。聊天预览会先抓页面，所以阅读页要先确认再取密文。创建与阅读均打开即用。
把带 UTM 的完整链接贴进聊天，会把哪些追踪信息一起发出去
从广告或邮件点进来后，地址栏常带着 utm_source、fbclid、gclid。把整串贴进聊天或工单，查询串会进历史、日志和 Referer。对照 Google 的 UTM 定义与 OWASP 暴露面，分清活动标签、点击 ID 和业务参数。路径和 id、q 会保留。清洗在本机完成，打开即用。
本地弱口令名单能证明什么，为什么它不是全网泄露查询
「未命中」只说明没落进这份本地高频名单，不能证明从未泄露。对照 NIST 的整串 blocklist 要求和 HIBP 的哈希前缀查询，说清本地名单覆盖什么。待测密码不上传。
URL 的井号后面为什么适合放密钥，以及什么时候会失效
问号会进 HTTP，井号默认不会。对照 RFC 9110：服务器看不到 # 后的密钥。把完整链接贴进聊天或工单时，这一层保护就没了。打开 Network 对照地址栏与请求行即可核对。
浏览器里做加密，怎么当场核对明文没有离开本机
口号写「不上传」没法证明。打开 Network，看请求行、请求体和分析上报里有没有明文、口令或井号后面的密钥。问号会进 HTTP，井号默认不会。
常见问题
博客和工具页写的是同一件事吗？
不是。工具页回答怎么立刻做完一件事；博客写原理、边界和可核对步骤。文章不会改成生成器或检测页的说明书。
阅读博客需要注册吗？
不需要。MakePwd 没有账号和密码库。博客与全部工具都是打开即用。
文章里的说法能在浏览器里核对吗？
会尽量写成可核对的步骤，例如看 Network 是否出现明文、确认 # 片段会不会进 HTTP。文章不编造 SLA、价格或未接入的客服邮箱。
文章卡片和详情对得上吗？
会。列表只展示已经写好的详情页，标题和摘要与正文一致。目前十二篇分别写：浏览器本地加密如何当场核对、URL 的 # 片段为什么适合放密钥、本地弱口令名单能证明什么、外发带 UTM 的链接会泄露哪些追踪信息、阅后即焚读完一次后服务端还剩什么、工单正文里规则脱敏能遮什么、把密钥贴进 ChatGPT 后会话和训练侧还剩什么、未加密文件丢进网盘后服务商和秒传还可能看到什么、复制密码后云同步和剪贴板历史还可能留下什么、点了浏览器的「保存」之后云同步和导出 CSV 还可能留下什么、带密码 ZIP 的默认加密、文件名和未加密条目还可能留下什么，以及把密码写进邮件正文后发件箱、备份和归档还可能留下什么。