在移动互联网时代，密码仍然是保护支付账户安全最基本也是最核心的手段。然而在实际情况中，相当一部分商户出于记忆方便而使用简单密码，如生日、手机号后六位或连续数字等，这无异于给攻击者留下了敞开的门。从业内安全实践来看，一个安全的支付密码应当同时满足以下条件：长度至少十二位、包含大写字母和小写字母的组合、穿插数字和至少一个特殊符号、并且与其他平台使用的密码完全不相同。可能有人会觉得记住多个复杂密码太困难，此时可以考虑使用市面上成熟的密码管理工具来辅助记忆，或者采用一套自己独创且容易回忆的密码生成规则来为每个平台生成不同的密码。除了密码本身的安全强度外，定期更换密码同样重要。行业推荐的做法是每九十天更换一次支付密码，同时在怀疑密码可能已经泄露的任何时候立即进行更换。
仅靠密码已经不足以应对当前日益复杂的安全威胁环境，多因素认证正是在这一背景下应运而生并被广泛推荐的安全措施。所谓多因素认证，即要求用户在登录时除了输入正确密码之外，还需通过至少一种其他方式来验证身份，例如手机短信验证码、指纹识别、人脸识别或通过已绑定设备上的App授权等。目前大部分支付平台都已经免费提供了多因素认证功能，商户只需要在账户设置的安全选项中手动开启即可。开启后，即便他人知道了您的登录密码，由于缺少第二个验证因素，也无法成功登录您的账户。建议商户至少开启两种额外的认证方式，如短信验证码加上指纹验证，这样在手机丢失或无法接收短信的极端情况下仍能通过指纹登录。
对于规模较大且有多名员工参与收款的商户来说，权限管理是容易被忽视但却十分重要的安全环节。正确的做法是为每一名需要操作的员工创建独立的子账号，并按照最小权限原则为其分配功能：收银员只需拥有发起收款和查看当日交易记录的权限即可；需要处理退款的员工可以额外开通退款权限；需要查看经营报表的财务人员可以开通数据查询权限；而最高级别的管理员权限应当由商户老板本人掌控，不要轻易下放。员工离职或转岗时，应当立即注销其对应用户的账号权限，并更换所有相关支付密码作为预防措施。定期审查各账号的权限使用情况也很有必要，如果某些权限长期未被使用，可以考虑先行回收以降低潜在风险。