खाता बनाना एक छोटा सा निर्णय लगता है: एक ईमेल पता, एक पासवर्ड, एक बॉक्स में टिक। यह वह क्षण भी है जब आप किसी कंपनी को अपने बारे में एक रिकॉर्ड और एक ऐसा लॉगिन देते हैं जिसमें अन्य लोग सेंध लगाने की कोशिश कर सकते हैं। अधिकांश खाता समस्याएं साइन-अप के समय शुरू होती हैं, और अधिकांश को बाद में ठीक करने की तुलना में वहीं रोकना अधिक सस्ता होता है।
यह पृष्ठ बताता है कि जब आप साइन अप करते हैं तो आप क्या सौंपते हैं, खाता बनाने के मुख्य तरीके कैसे तुलना करते हैं, और उनके बीच कैसे निर्णय लिया जाए। यह खाते बनाने को कवर करता है। पासवर्ड चुनना, टू-फैक्टर प्रमाणीकरण सेट करना और खाते हटाना अलग विषय हैं।
सरल शब्दों में खाता क्या है
एक खाता दो चीज़ें हैं: एक लॉगिन जो साबित करता है कि आप आप हैं, और एक रिकॉर्ड जो सेवा आपके बारे में रखती है। लॉगिन चोरी हो सकता है। रिकॉर्ड लीक हो सकता है, बेचा जा सकता है या किसी ऐसी चीज़ के लिए उपयोग किया जा सकता है जिससे आप कभी सहमत नहीं हुए।
कॉफ़ी चेन के लिए एक लॉयल्टी ऐप लें। छूट पाने के लिए आप एक ईमेल पता और एक फ़ोन नंबर देते हैं, और ऐप आपकी खरीदारी का इतिहास भी रख सकता है। यदि चेन में डेटा ब्रीच होता है, तो वे विवरण आपके बैंक के लिए उपयोग किए जाने वाले उसी ईमेल पते से जुड़े होकर बाकी सब चीज़ों के साथ निकल जाते हैं।
साइन अप करते समय क्या गलत हो सकता है
डेटा ब्रीच (उल्लंघन) सबसे आम समस्या है। एफबीआई के इंटरनेट क्राइम कम्प्लेन सेंटर (IC3) को 2025 में 67,456 व्यक्तिगत डेटा उल्लंघन की शिकायतें मिलीं, जो मात्रा के हिसाब से चौथा सबसे आम प्रकार है। वह अमेरिकी डेटा है और केवल उन शिकायतों की गिनती करता है जो लोगों ने दर्ज की थीं। एक लीक हुआ ईमेल पता फिर एक लक्ष्य सूची (target list) बन जाता है। प्राइवेसी गाइड्स (Privacy Guides) नोट करता है कि एक हैक के बाद आपको अपने उपयोग किए गए पते पर फ़िशिंग और स्पैम मिलने शुरू हो सकते हैं।
एक सेवा में उल्लंघन अन्य सेवाओं को भी खोल सकता है। गूगल के अकाउंट हाइजैक अध्ययन में पाया गया कि अधिकांश प्रयास अन्य उल्लंघनों में उजागर हुए पासवर्ड का उपयोग करने वाले स्वचालित बॉट से आए थे। एक छोटी साइट पर एक कमजोर या पुन: उपयोग किया गया पासवर्ड आपके अन्य खातों के लिए एक जोखिम है। सामान्य खतरे (common threats) इसे अधिक विस्तार से कवर करता है।
सेवा स्वयं आपके द्वारा दी गई जानकारी का दुरुपयोग कर सकती है। यूएस फेडरल ट्रेड कमीशन (FTC) ने आरोप लगाया कि 2013 से 2019 तक ट्विटर ने “अपने खाते की सुरक्षा करें” जैसे दावों के साथ लोगों से फ़ोन नंबर और ईमेल पते मांगे, फिर विज्ञापनदाताओं को विज्ञापनों को लक्षित करने के लिए उनका उपयोग करने दिया। एफटीसी के अनुसार, 14 करोड़ से अधिक उपयोगकर्ता प्रभावित हुए थे। ट्विटर ने मामले को निपटाने के लिए 2022 में $150 मिलियन का भुगतान किया, और उसे ऐसे टू-फैक्टर विकल्प देने का आदेश दिया गया जिनमें फ़ोन नंबर की आवश्यकता नहीं होती है। ट्विटर ने कहा कि इसका उपयोग अनजाने में हुआ था और उसने कभी भी सीधे विज्ञापनदाताओं के साथ विवरण साझा नहीं किया।
नियम और स्वचालन भी मायने रखते हैं। बड़ी सेवाएं स्वचालित प्रणालियों के साथ अपनी सेवा की शर्तों को लागू करती हैं जो कभी-कभी गलतियां करती हैं। प्राइवेसी गाइड्स नोट करता है कि लोगों को VPN या इंटरनेट-आधारित फ़ोन नंबर का उपयोग करने के लिए खातों से बाहर (lock out) कर दिया गया है, और अपीलें अक्सर स्वचालित भी होती हैं। कुछ सेवाओं को छोड़ना मुश्किल होता है, और कुछ आपके खाते में हुए परिवर्तनों का पूरा इतिहास रखती हैं।
यूरोपीय संघ का सामान्य डेटा संरक्षण विनियमन (GDPR) साइन-अप फ़ॉर्म के लिए एक उपयोगी मानक प्रदान करता है, भले ही आप यूरोपीय संघ में न रहते हों। अनुच्छेद 5 कहता है कि व्यक्तिगत डेटा पर्याप्त, प्रासंगिक और उद्देश्य के लिए आवश्यक सीमा तक सीमित होना चाहिए। यदि कोई फ़ॉर्म सेवा के काम करने की आवश्यकता से अधिक माँगता है, तो उसे सेवा के बारे में जानकारी के रूप में मानें।
खाता बनाने के मुख्य तरीके
| विधि | आप क्या साझा करते हैं | मुख्य जोखिम | अक्सर किसके लिए उपयुक्त है |
|---|---|---|---|
| ईमेल और पासवर्ड | एक ईमेल पता, या एक उपनाम (alias) | पासवर्ड का पुन: उपयोग और डेटा ब्रीच | अधिकांश खाते |
| किसी बड़े प्रदाता के साथ “साइन इन करें” | नाम और ईमेल, और प्रदाता सीखता है कि आप सेवा का उपयोग करते हैं | एक लॉक या हैक हुआ खाता कई को प्रभावित करता है | कम जोखिम वाली सेवाएं जिन पर आप भरोसा करते हैं |
| फ़ोन नंबर | एक नंबर जो विभिन्न सेवाओं में आपकी पहचान बताता है | ट्रैकिंग, सिम स्वैप, मार्केटिंग | ऐसी सेवाएं जिन्हें वास्तव में इसकी आवश्यकता है |
| केवल उपयोगकर्ता नाम और पासवर्ड | पहचान संबंधी बहुत कम या कुछ भी नहीं | खाता पुनर्जीवित (recover) करने का कोई तरीका नहीं | वे खाते जहाँ गुमनामी (anonymity) मायने रखती है |
| पासकी (Passkey) | एक पब्लिक कुंजी, कोई गुप्त जानकारी नहीं | यदि आप अपना डिवाइस खो देते हैं तो रिकवरी की समस्या | वे सेवाएं जो इसका समर्थन करती हैं |
ईमेल और पासवर्ड
यह अभी भी डिफ़ॉल्ट है। मुख्य नियम प्रत्येक खाते के लिए एक अलग पासवर्ड है, जिसे अधिकांश लोग पासवर्ड मैनेजर के साथ प्रबंधित करते हैं।
आप प्रत्येक सेवा को एक अलग ईमेल पता भी दे सकते हैं। एक ईमेल उपनाम (alias) एक ऐसा पता है जो आपके वास्तविक इनबॉक्स में मेल फ़ॉरवर्ड करता है। प्राइवेसी गाइड्स तीन लाभों की सूची देता है: यह ईमेल पते द्वारा सेवाओं में ट्रैकिंग को रोकने में मदद करता है, यह आपको उपनाम द्वारा मार्केटिंग को फ़िल्टर करने देता है, और यदि किसी सेवा को हैक किया जाता है, तो एक अनूठा उपनाम दिखाता है कि किसे हैक किया गया था। Apple का Hide My Email इस तरह काम करता है। प्रत्येक सेवा को एक यादृच्छिक पता मिलता है, एप्पल मेल फ़ॉरवर्ड करता है, और प्रेषक कभी आपका वास्तविक पता नहीं देखता है। यदि स्पैम आने लगे तो आप किसी उपनाम को बंद कर सकते हैं।
इसकी कीमत भरोसा और रिकवरी है। मेल उपनाम प्रदाता के सर्वर से होकर गुज़रता है, और यदि प्रदाता कभी आपका खाता बंद कर देता है, तो उपनाम भी बंद हो जाते हैं। अपने वास्तविक पते को उन खातों के लिए रखें जिन्हें आप खोना बर्दाश्त नहीं कर सकते, जैसे कि आपका बैंक और आपका मुख्य ईमेल।
“साइन इन करें” (Sign in with) बटन
“Sign in with Google”, Apple, Facebook और इसी तरह के बटन ओपन ऑथराइजेशन (OAuth) नामक एक प्रोटोकॉल का उपयोग करते हैं। आप बड़े प्रदाता के सामने साबित करते हैं कि आप कौन हैं, और नई सेवा को एक पुष्टि प्राप्त होती है। आपका पासवर्ड साझा नहीं किया जाता है। सेवा को आमतौर पर आपके नाम और ईमेल जैसे बुनियादी विवरण मिलते हैं, जिनकी आप साइन-अप के दौरान समीक्षा कर सकते हैं।
लाभ वास्तविक हैं। आप एक छोटी सेवा के बजाय एक बड़े प्रदाता की सुरक्षा पर भरोसा करते हैं, और आप कम पासवर्ड प्रबंधित करते हैं। नुकसान भी वास्तविक हैं। प्रदाता सीखता है कि आप किन सेवाओं का उपयोग करते हैं। यदि वह मुख्य खाता हैक या लॉक हो जाता है, तो उससे जुड़ी हर चीज़ प्रभावित होती है। कुछ साइन-इन लॉगिन की आवश्यकता से अधिक पहुंच की भी मांग करते हैं, जैसे आपके संपर्क या आपकी ओर से पोस्ट करने की क्षमता, इसलिए अनुमतियों की सूची पढ़ें। प्राइवेसी गाइड्स इन बटनों को उन सेवाओं के लिए एक सुविधा के रूप में मानने का सुझाव देता है जिन पर आप भरोसा करते हैं, और मुख्य खाते को टू-फैक्टर प्रमाणीकरण से सुरक्षित रखने की सलाह देता है।
फ़ोन नंबर
सेवाएं आपको सत्यापित करने, खाता पुनर्जीवित करने में मदद करने या आपको मार्केटिंग करने के लिए एक नंबर मांगती हैं। एक नंबर सेवाओं के बीच आपकी पहचान उस तरह बताता है जिस तरह एक पासवर्ड नहीं बताता, और इसे बदलना मुश्किल है। ऊपर दिया गया ट्विटर मामला दिखाता है कि सुरक्षा के लिए दिए गए नंबर का क्या हो सकता है।
यदि कोई फ़ोन नंबर किसी खाते की सुरक्षा करता है, तो सिम स्वैप (SIM swap) उस तक पहुँच सकता है। सामान्य खतरे (common threats) बताता है कि कैसे। महत्वपूर्ण खातों के लिए किसी नकली नंबर या इंटरनेट-आधारित नंबर के साथ अनुरोध से बचने की कोशिश न करें। प्राइवेसी गाइड्स चेतावनी देता है कि यह धोखाधड़ी जांच को ट्रिगर कर सकता है या आपको बाहर (lock out) कर सकता है, क्योंकि सेवाएं सत्यापन के लिए आपके नंबर का उपयोग करती हैं। यदि कोई सेवा इसके बजाय एक प्रमाणीकरण ऐप या सुरक्षा कुंजी प्रदान करती है, तो उसे लें।
केवल उपयोगकर्ता नाम और पासवर्ड
कुछ सेवाएं आपको बिना किसी ईमेल या फ़ोन नंबर के पंजीकरण करने देती हैं। प्राइवेसी गाइड्स कहता है कि ये अधिक गुमनामी की पेशकश कर सकते हैं, लेकिन यदि आप पासवर्ड भूल जाते हैं तो खाते को पुनर्जीवित (recover) करने का कोई तरीका नहीं होगा। यह उन्हें किसी भी ऐसी चीज़ के लिए अनुपयुक्त बनाता है जिसे खोने का आपको दुख होगा।
पासकी (Passkeys)
एक पासकी पासवर्ड को cryptographic कुंजियों के जोड़े से बदल देती है। मानक लिखने वाले उद्योग समूह, फ़िडो एलायंस (FIDO Alliance), बताते हैं कि आपका डिवाइस प्राइवेट कुंजी रखता है और सेवा के पास पब्लिक कुंजी पंजीकृत करता है, और प्रत्येक पासकी एक सेवा के लिए अनूठी होती है। चूंकि कोई साझा रहस्य नहीं है, इसलिए पासकी को फ़िशिंग और पासवर्ड के पुन: उपयोग का विरोध करने के लिए डिज़ाइन किया गया है। आप फिंगरप्रिंट, फेस स्कैन, डिवाइस पिन या सुरक्षा कुंजी के साथ साइन-इन को स्वीकृत करते हैं।
एक सेवा जो केवल आपकी पब्लिक कुंजी को स्टोर करती है, उसके पास ऐसा कुछ भी नहीं होता है जो किसी हमलावर को डेटा ब्रीच होने पर आपके रूप में लॉग इन करने दे। इसके बदले में मिलने वाला समझौता रिकवरी है। यदि आप डिवाइस खो देते हैं, तो आपको वापस आने के लिए दूसरे तरीके की आवश्यकता होती है, जैसे कि आपके फ़ोन या कंप्यूटर के खाते के माध्यम से सिंक की गई पासकी या एक दूसरी सुरक्षा कुंजी। FIDO एलायंस द्वारा शुरू किए गए 2024 के एक सर्वेक्षण में, 53% लोगों ने कहा कि उन्होंने कम से कम एक खाते के लिए पासकी चालू की थी। ऐसी सेवाओं से मिलने की उम्मीद रखें जिन्हें अभी भी पासवर्ड की आवश्यकता होती है।
शर्तें और गोपनीयता नीति पढ़ना
आपको हर शब्द पढ़ने की जरूरत नहीं है, और लगभग कोई नहीं पढ़ता है। चार चीज़ों के लिए सरसरी तौर पर देखें: सेवा क्या एकत्र करती है, क्या यह विज्ञापनदाताओं या अन्य तीसरे पक्षों के साथ डेटा साझा करती है, यह कितने समय तक डेटा रखती है, और आप अपना खाता कैसे हटा सकते हैं।
गोपनीयता नीति में बताया गया है कि कंपनी का क्या कहना है कि वह क्या करेगी। प्राइवेसी गाइड्स नोट करता है कि कोई कंपनी कानूनी रूप से इससे कितनी बंधी है, यह आपके अधिकार क्षेत्र (jurisdiction) पर निर्भर करता है। ट्विटर मामला दिखाता है कि यह अभी भी क्यों मायने रखता है: एफटीसी की शिकायत नंबर एकत्र करने के लिए ट्विटर द्वारा दिए गए कारण और उसने उनके साथ क्या किया, इसके बीच के अंतर पर केंद्रित थी।
साइन अप करने से पहले फैसला कैसे लें
ये कदम सबसे उपयोगी से कम उपयोगी की ओर चलते हैं।
- पूछें कि क्या आपको खाते की आवश्यकता है भी या नहीं। यदि कोई साइट गेस्ट चेकआउट प्रदान करती है और आप वापस नहीं आएंगे, तो उसका उपयोग करें।
- फ़ॉर्म के काम करने के लिए न्यूनतम जानकारी दें। वैकल्पिक फ़ील्ड खाली छोड़ दें। यदि कोई सेवा बिना किसी स्पष्ट कारण के फ़ोन नंबर पर ज़ोर देती है, तो उसे एक चेतावनी के रूप में लें।
- ऐसे लॉगिन का उपयोग करें जिसे दोबारा इस्तेमाल न किया जा सके। यदि पेशकश की जाए तो पासकी सबसे अच्छी है। अन्यथा एक अनूठे पासवर्ड का उपयोग करें।
- चुनें कि किस ईमेल का उपयोग करना है। जिन खातों को आप खोना बर्दाश्त कर सकते हैं उनके लिए उपनाम (alias) का उपयोग करें और जिन्हें आप बर्दाश्त नहीं कर सकते उनके लिए अपने वास्तविक पते का उपयोग करें।
- रिकवरी और अलर्ट सेट करें। Have I Been Pwned आपको ज्ञात उल्लंघनों के खिलाफ ईमेल पते की जांच करने और अलर्ट के लिए साइन अप करने देता है। एक हिट का मतलब यह नहीं है कि आपको हैक किया गया था, लेकिन यह उस खाते के पासवर्ड को बदलने का एक कारण है।
इसमें से कितना करना है यह इस बात पर निर्भर करता है कि खाता किसकी सुरक्षा करता है, जिसे तय करने में थ्रेट मॉडलिंग (threat modeling) आपकी मदद करता है। एक रेसिपी साइट को पैसे, स्वास्थ्य या पहचान से जुड़ी किसी भी चीज़ की तुलना में कम देखभाल की आवश्यकता होती है।
स्रोत (Sources)
- Account Creation, Privacy Guides, 2025.
- Twitter apologizes for abusing user security information after $150 million FTC settlement, The Record, 2022.
- Twitter fined $150M after using 2FA phone numbers for marketing, Malwarebytes, 2022.
- Twitter Used People’s Contact Info for Ads. Now It Is Being Fined $150 Million., Consumer Reports, 2022.
- 2025 Losses to Cybercrime Exceeded $20 Billion, HIPAA Journal, 2026 (एफबीआई IC3 आंकड़ों की रिपोर्टिंग).
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- Article 5, Principles relating to processing of personal data, GDPR टेक्स्ट, एक्सेस किया गया अक्टूबर 2026.
- Should You Opt to ‘Sign in with’ Facebook, Google, Apple?, Bitdefender, एक्सेस किया गया अक्टूबर 2026.
- What is Apple’s “Hide My Email”, Saily सहायता, एक्सेस किया गया अक्टूबर 2026.
- How Does Apple’s Private Email Relay Work?, Bird, एक्सेस किया गया अक्टूबर 2026.
- How FIDO works, FIDO Alliance, एक्सेस किया गया अक्टूबर 2026.
- Passkeys, FIDO Alliance, एक्सेस किया गया अक्टूबर 2026.
- Get Breach Notifications, Have I Been Pwned, एक्सेस किया गया अक्टूबर 2026.
- Tips: How to use Have I Been Pwned?, Villanova University, एक्सेस किया गया अक्टूबर 2026.