什么是 Passkey？无密码登录通俗指南

我们大多数人的密码都太多了。有些重复使用，其余的记不住，每次看到"重置密码"的邮件都有点发怵。Passkey 是一种较新的登录方式，目的是去掉登录流程中最薄弱的一环。你不再输入一个秘密，而是用设备本来就会做的事情来证明身份：指纹、人脸识别，或者你解锁屏幕用的 PIN。

本文用通俗的语言讲解 passkey，包括它的原理、与密码和短信验证码的比较、为什么能抵御钓鱼、换手机或丢手机时会怎样、旅行时的好处，以及哪些地方支持，最后给出一个简单的上手办法。不同设备、应用和软件版本的菜单名称各异，支持情况也变化很快，文中的措辞仅作一般参考。

Passkey 是什么

Passkey 是用来代替某个网站或应用密码的登录凭据。从技术上讲，它是一对加密密钥：一把是私钥，存放在你的设备上，由屏幕锁保护；另一把是公钥，由网站保存。登录时，网站发来一个挑战，你用指纹、面容或 PIN 确认后，设备用私钥对它签名，网站再用公钥验证这个签名。

关键在于，私钥不会以任何人能读取的形式离开你的设备，网站也永远拿不到一个可以在别处重复使用的秘密。制定这一标准的行业组织 FIDO Alliance 在其 passkeys 页面介绍了这一思路。细节比较技术化，但你看到的很简单：点登录，用人脸或手指确认，就进去了。

密码、短信验证码与 passkey 的对比

把三种登录方式放在一起看，会更清楚。

	密码	密码加短信验证码	Passkey
你要做什么	输入一个秘密	输入秘密，再输入发到手机的验证码	在设备上确认
能否被钓鱼	能，输入到假网站就会	能，假网站也可以索要验证码	困难得多，因为密钥只对真网站有效
网站被攻破会泄露吗	会	密码部分会	网站上没有可复用的秘密
是否依赖手机信号	否	是	否
能否经 SIM 卡劫持被转走	不直接	能	不能
是否容易在多个网站重复使用	容易，这正是问题	同样	每个网站有各自的密钥

这并不意味着短信验证码毫无用处。美国国家标准与技术研究院（NIST）在其数字身份指南 SP 800-63B中，把短信验证码视为较弱的第二步验证，并讨论了更强的选项，包括能抵御钓鱼的验证器。通过短信发送的验证码比只用密码好，但可能被拦截、转走，或者被人骗走。更多内容见我们的双重验证一文。

为什么 passkey 能抵御钓鱼

钓鱼的原理，是让你把秘密输入一个长得像真网站的假网站。一条消息说你的银行账户出了问题，你点开链接，页面看上去没错，你输入了密码和刚收到的验证码，攻击者再把两样东西转交给真网站。CISA 关于钓鱼的指南列出了常见的迹象，我们的识别钓鱼网站一文也有详细说明。

Passkey 改变了局面，因为它与真实网站的地址绑定。如果你进入了一个相似的域名，设备根本不会提供 passkey，因为它是为真正的网站创建的。没有什么可输入，也就没有什么可被骗走。检查工作由不会疲劳、不会分神的软件完成，这是关键区别。不过，钓鱼并不是唯一的危险。如果有人拿到你已解锁的手机，如果恶意软件控制了你的设备，或者你被骗在真实网站上批准了某件事，passkey 就帮不上忙。它降低了一种非常常见的风险，而且做得不错。

跨设备同步，以及丢手机怎么办

早期的担忧是：如果密钥只在一部手机上，手机丢了怎么办？现在的 passkey 通常可以同步。手机账号、浏览器或密码管理器会保存一份加密的副本，换了新设备并登录该账号后就能恢复。具体做法因系统而异，叫法也不同，请查看你所在的生态提供了什么。

实际情况是：

• 换新手机。 在新设备上登录账号并解锁后，passkey 通常会重新出现。可以对几个重要网站试一下。
• 手机丢失或被盗。 屏幕锁保护着设备上的密钥。用手机厂商的查找设备功能锁定或抹除手机，再从账号把 passkey 恢复到新设备。
• 混用设备。 如果手机和电脑是不同品牌，跨设备登录允许你用手机批准电脑上的登录，通常是扫描二维码并在附近确认。支持情况不一。
• 密码管理器。 若干密码管理器也能保存 passkey，在你切换平台时很有用。

薄弱点从 passkey 转移到了负责同步它的账号。要用强密码、第二步验证以及你能掌控的恢复方式来保护该账号。在习惯之前，要为最重要的账号保留第二条登录途径，例如存放在安全地方的备用码。

旅行时使用 passkey

旅行正是 passkey 发挥价值的场合。许多人登录或批准付款时，依赖发到本国手机号码的短信验证码。到了国外，这可能出问题：家乡 SIM 卡可能没有信号或关了漫游，短信可能延迟，或者你用的是当地的流量套餐而不是平时的号码。如果你需要这方面的帮助，销售旅行 eSIM 的 eSIMonline 有一篇关于在国外接收短信验证码的指南。

Passkey 在你手中的设备上确认，完全不需要短信。对依赖泰国 SIM 卡的旅行者来说，这意味着少了一项依赖。它也减少了一种风险：在传输中的短信验证码越少，罪犯拦截或通过 SIM 卡劫持诈骗得手的机会就越少。

适合旅行的习惯：

1. 出发前先设置重要账号的 passkey。 邮箱、银行、购物，以及任何不能丢的账号。
2. 保持强的屏幕锁。 Passkey 的安全程度取决于设备的锁。避免过于简单的 PIN，并考虑关闭会在锁屏上显示敏感内容的快捷方式。
3. 保留备用入口。 离线保存的恢复码，在手机在国外丢失或损坏时能派上用场。
4. 别忘了公共 Wi-Fi。 Passkey 保护的是登录，不是你在网络上做的一切。VPN 可以在酒店、机场和咖啡馆多加一层防护，参见我们的公共 Wi-Fi 安全指南，不过两者不能互相替代。

哪些地方支持 passkey

支持范围增长很快，但并不普遍。许多大型科技公司、邮箱服务、社交网络，以及越来越多的银行、商店和政务门户都提供 passkey。新款手机、平板、电脑和浏览器普遍支持创建和使用，一些密码管理器也支持。

请留意以下几点：

• 支持情况因网站、应用和操作系统版本而异。某个网站可能允许在浏览器里用 passkey，但在手机应用里不行，或者反过来。
• 有些网站允许把 passkey 附加在密码之外，也有网站允许你彻底弃用密码。各家政策不同。
• 较旧的设备和浏览器可能不支持 passkey，这时你可能会被提供其他方式。
• 银行和工作单位有时有自己的规定，请遵循它们的官方说明。

最好的办法是打开该服务的账号安全或登录设置，找 Passkeys、Security keys 或 Passwordless sign-in。如果没有这个选项，说明该服务可能还不支持。

如何开始，逐步说明

不必一次全换。合理的顺序是：

1. 检查基础。 更新手机和浏览器，确认已开启屏幕锁，使用你信得过的 PIN 或生物识别。
2. 先选最重要的账号。 通常是邮箱，因为它能用来重置其他账号，然后是银行和你主要的社交账号。
3. 打开账号的安全设置。 找到 Passkeys 或无密码登录，按提示操作。系统会要求你用指纹、面容或 PIN 确认。叫法因服务而异。
4. 确认保存在哪里。 记下 passkey 保存在手机账号、浏览器还是密码管理器中，这样你知道怎么恢复。
5. 测试一下。 退出登录，再用 passkey 登录。如果有第二台设备，也在上面试一试。
6. 保留后备方案。 不要马上删除密码或恢复选项。等你熟悉之后，如果服务允许，再逐步移除。
7. 逐个重复。 每次设置几个账号。

对待创建 passkey 的请求，要像对待任何安全提示一样：只有在你自己发起、在你自己打开的网站或应用上，才批准。

一个简单的例子

假设一位来自成都的旅行者在大阪度假。平时在家，她登录银行用密码加发到本国号码的短信验证码。到了国外，她为了省钱关了漫游，用的是当地的流量套餐，短信收不到，也就无法批准付款。

出发前，朋友建议她试试 passkey。她为邮箱和主要购物账号设置了 passkey，银行应用也提供了这个选项。在机场，她用指纹登录邮箱并批准一笔购买，不需要等短信。在酒店 Wi-Fi 上，她再开启 VPN 多加一层防护。出租车上手机暂时找不到时，她庆幸屏幕锁设得足够强，用查找设备功能把手机锁住，后来手机找回来了。回家后，她检查了各个账号，一切正常。

局限与注意事项

• Passkey 不是魔法。 它能很好地抵御钓鱼和密码泄露，但如果设备被入侵，或者你被说服批准了欺诈性的操作，它就帮不上忙。
• 设备锁很重要。 知道你手机 PIN 又拿着你手机的人，可能会走得很远。使用强的锁，在公共场合输入时要留神。
• 同步是一种取舍。 同步很方便，但也让同步账号成为重要目标，要认真保护。
• 支持并不均衡。 在一段时间内，某些网站仍需要保留密码和第二步验证。
• 共用设备与工作设备。 不要在不属于你、或别人也在使用的电脑上创建 passkey。
• 以官方信息为准。 你所在国家或单位的具体规定，请查看服务自身的帮助页面。我们的描述只是概述。

总结

Passkey 用存放在设备上的密钥取代需要输入的秘密，由指纹、面容或 PIN 批准。它能抵御钓鱼，因为只对真实网站有效；没有可泄露的密码，也不依赖短信验证码，在你旅行、家乡 SIM 卡不好用时很有帮助。同步让换手机变得容易，但要保护好同步账号并保留恢复方式。从邮箱和银行开始，测试登录，在支持范围继续扩大的过程中保留后备方案。

如果你正为出行做准备，并希望在酒店或机场网络上多一层保护，帮助中心会在你准备好时说明如何连接 VPN。