这两年登录网站时，你可能见过"使用通行密钥登录"的选项，点一下，刷个脸或按个指纹就进去了，不用输密码也不用等短信。这就是 Passkey（通行密钥）。它不是什么小众新玩具，苹果、谷歌、微软几家已经推了几年，主流网站跟进得越来越多，值得你现在就了解一下。
插图来源：Storyset
Passkey 到底是什么#
一句话：存在你设备里的、和网站配对的数字钥匙。注册时，你的设备生成一对密钥：公钥给网站，私钥锁在你设备里（手机的安全芯片或密码管理器）。登录时网站出道题，只有你设备里的私钥能答对，刷脸/指纹只是"开锁"的动作。
相比密码和短信验证码，好在哪#
- 不用记：没有密码，就没有"密码太简单被猜中"这回事。
- 防钓鱼：私钥和网站域名是绑定的，假网站拿公钥也没用，钓鱼站直接失效。
- 不用等短信：没信号的地下室也能登录，告别"验证码收不到"。
- 防撞库：每个网站的钥匙都是独立的，一个网站泄露不影响其他。
主流网站怎么开#
一般在账号设置的"安全"或"登录方式"里找"通行密钥/Passkey"选项，按提示用手机刷脸创建即可。建议先在密码管理器（比如 Bitwarden，教程见Bitwarden 指南）里存 Passkey，这样换设备时跟着账号走；存在手机系统里也行，但要注意下面这个问题。
换设备时的同步问题（必看）#
Passkey 最大的坑在换设备：存在 iPhone 里的 Passkey 换安卓机是带不走的（生态墙）。对策：
- 优先存在跨平台密码管理器里，一处存、多端用。
- 重要账号保留密码+2FA 作为备用登录方式，别把 Passkey 设成唯一入口。2FA 方法回顾见双重验证方法。
- 卖旧设备前，确认新设备上的 Passkey 都能正常登录。
现在要不要全面切换#
我的建议：新注册的账号优先用 Passkey，老账号先给邮箱、密码管理器、支付这几个核心账号加上，其他的慢慢来。技术上它已经成熟，剩下的是习惯问题。想对比下扫码登录，参考扫码登录安全吗。
哪些账号建议优先开 Passkey#
按重要程度排序，先给这几类加上：
- 邮箱（谷歌、苹果 ID 等）：所有账号找回的源头，邮箱丢了等于全丢。
- 密码管理器：它管着你所有密码，它的安全等级就是你的安全天花板。
- 支付和银行：钱相关的，能多一层是一层。
- 常用社交账号：微信、QQ 这类不好找回的，优先加固。
开完之后做个记录：哪个账号开了 Passkey、存在哪（手机还是密码管理器），换设备时照着清单迁移，一个不落。