什么是 passkey？

Passkey 是一种替代传统密码的唯一数字密钥。当您创建 passkey 时，系统会生成两个相互配对的数字密钥：一个安全保存在您的凭据管理器中，另一个共享给网站或应用。登录时，您的设备会通过面容、指纹或设备 PIN 码验证是您本人，然后使用您设备持有的密钥安全地证明身份。您的私钥绝不会透露给网站。

密码是由您记忆并手动输入到网站中的秘密字符。Passkey 则是保存在凭据管理器中的唯一数字密钥，无需记忆也无需手动输入。每个 passkey 都是专门针对其对应的网站或应用而生成的，因此无法被猜出、无法被钓鱼窃取，也不能像密码那样在其他账户中重复利用。

传统的双重认证（2FA）通常是在输入密码之后追加一个步骤，例如短信验证码或认证器生成的动态口令。Passkey 可以同时替代密码以及这些额外步骤：它通过确认您持有 passkey，并借助面容、指纹或设备 PIN 码验证您是本人，一步搞定安全验证。部分网站根据其 passkey 的实现策略，可能仍会要求附加的验证步骤。

FIDO2 是构建 passkeys 所依托的技术标准。您无需深究底层细节——只需知道“passkey”是 FIDO2 技术在面向大众时的友好通俗称谓，正是这一标准确保了 passkeys 能在不同厂商的操作系统、网站、应用、设备和凭据管理器之间通用互通。

实体安全密钥可以用来存储 passkey，但使用 passkeys 并不一定非要配备实体安全密钥。绝大多数普通用户将 passkeys 保存在手机、电脑或其他设备自带的凭据管理器中。实体安全密钥只是存储 passkey 的另一种可选方式，对于希望多一层硬件级登录保障的用户非常有用。

不会。您的指纹或面容数据仅由您的本地设备用于核验您的身份。生物识别信息绝不会离开您的设备，也绝不会共享给任何网站或应用。

您只需要能够通过凭据管理器访问到您的 passkey，并拥有一种验证本人身份的方式（如面容、指纹或设备 PIN 码）。在绝大多数情况下，您无需下载任何全新软件，因为您的手机或电脑通常已经内置了凭据管理器。

账户密码在登录时会直接传输给网站。而设备 PIN 码仅在本地用于核实是您本人在使用设备，绝不会共享给网站。当您使用 passkey 时，设备 PIN 码可以作为设备验证您是否有权使用该 passkey 的验证方式之一。您的设备 PIN 码/锁屏密码绝不会发送给网站或应用。

通常存储在两个地方之一：您设备内置的安全存储区（与手机/电脑其他部分物理隔离的受保护安全芯片）中，或者存储在您使用的凭据管理器中。通常您无法直接“看到”原始密钥文件，就像您无法看到已存密码背后的底层代码一样——但您可以在账户设置或凭据管理器中查看和管理已创建的 passkeys 列表。

不能，passkeys 归您个人所有，且直接绑定到对应网站，而不是属于 Google/Apple/Microsoft。这些厂商只是为您提供了存储和同步密钥的平台（类似于为您提供存储和同步相册的空间）。但请记住，如果您丢失了该厂商账户的访问权限，可能就无法在新设备上直接访问它们。如果您对此有所顾虑，可以选择将 passkeys 存储在独立的第三方凭据管理器中。

当网站或应用支持 passkeys 时，可以在账户或安全设置中查找诸如“创建 passkey”或“设置 passkey”的选项。您的设备会提示您通过面容、指纹或设备 PIN 码验证身份。验证成功后，passkey 就会生成并存储在您的凭据管理器中。某些网站和应用也会在您登录成功后主动提示您进行创建。

许多网站和应用正在引入 passkeys 作为更安全、更便捷的登录方式。创建 passkey 后，下次登录时您就可以直接用它代替手动输入密码。根据各网站的策略，您的原密码可能会继续保留，作为备用的登录或找回手段。

这通常发生在您使用了尚未同步该 passkey 的新设备或新浏览器时。一旦在该设备上也配置好后，该提示通常就会消失。这是部分网站在推进 passkey 部署过渡期存在的体验不一致现象，并不代表您的 passkey 出现了故障。

少数网站尚未完全改造其认证体系，出于谨慎考虑仍然保留了旧式的二次验证机制。这虽然有些多余，但并不影响安全性——随着各大网站全面完成架构改造，这种现象会逐渐消除。

这正是 passkeys 的设计初衷。但目前部分网站为了提供“以防万一”的备用找回方案，即使您打算全程仅用 passkey 登录，依然会强制要求设置一个传统密码。

目前部分网站在引导用户熟悉新功能的过程中，会额外弹出引导提示（例如“是否要使用 passkey？”）。随着该技术普及成为行业标配，流程会变得极其顺畅：通过面容、指纹或设备 PIN 码轻触验证，瞬间即可完成登录。

可以，许多网站和应用允许您为每个 passkey 自定义标签。这样当设备丢失时，您可以更轻松地识别并移除对应的密钥。但请注意，大多数 passkeys 都会在您的所有设备间自动同步，因此按单台设备来命名可能会引起混淆。许多网站会自动填入保存该密钥的凭据管理器名称（例如 Google Password Manager、Apple Passwords、Bitwarden）。如果未自动填充，建议使用凭据管理器的名称而非设备名称来命名。

这些弹窗可能由网站、浏览器或凭据管理器触发，具体关闭方式取决于弹窗来源。您可以检查浏览器或凭据管理器设置中的 passkey、登录或自动填充相关选项进行关闭。

这取决于您的 passkey 存储在何处。许多凭据管理器可以在您的设备之间安全同步 passkeys，因此在手机上创建的 passkey 也可在笔记本电脑或平板上使用。也有一些 passkeys 仅存储在特定设备上而不参与同步。如果当前使用的设备上没有可用的 passkey，您通常仍然可以借助其他设备（如手机）来完成跨设备验证登录。

可以，前提是您的凭据管理器同时支持这两台设备并具备 passkey 同步功能。否则，各设备的 passkeys 将保持相互独立。

不同凭据管理器之间迁移 passkey 的技术支持正在逐步完善，但尚未完全普及。能否迁移取决于源凭据管理器与目标凭据管理器以及它们当前支持的功能；我们的凭据管理器评分指南列出了当前支持此特性的管理器。您可以查看“凭据交换 (Credential Exchange)”功能。

这是由于您的笔记本和手机已关联用于 passkey 同步，系统通过双设备交叉确认来核实确属本人操作。虽然初看令人费解，但这完全符合预期的安全设计机制。

您可以使用手机或平板电脑上的 passkey 在其他设备上完成登录，而无需将密钥保存在该设备上。登录时寻找类似“使用其他设备”的选项，屏幕通常会显示一个二维码，用手机扫码即可继续登录。

可以，但体验并不总是严丝合缝。存储在某一平台凭据管理器中的 passkeys 往往不会直接自动同步到另一平台。例如，如果您的 passkey 保存在 Apple Passwords 中，而在 Windows 电脑上登录时，您可能需要借助 iPhone（如扫描屏幕二维码）来完成登录。如果您经常跨不同生态使用设备和浏览器，挑选一款跨平台兼容出色的凭据管理器能大幅提升 passkeys 的使用体验。请参阅我们的凭据管理器评分，对比了解哪些方案在跨设备、跨系统和跨浏览器方面表现最佳。如果需要迁移现有的 passkeys，请确保挑选在“凭据交换支持”类别中评分领先的凭据管理器。

如果您的 passkeys 由凭据管理器负责同步，只需在新设备上登录该凭据管理器，它们就会自动恢复可用。如果某个 passkey 仅存储在已丢失的单台设备上，则需要借助其他登录凭据或账户找回流程。这正是使用凭据管理器大有裨益的原因——能确保您始终可以访问自己的账户。

能否找回 passkeys 取决于您使用的凭据管理器及其设置方式。不同的凭据管理器在账户恢复、备份策略及新设备接入流程上各有不同，因此在遇到突发情况之前了解清楚恢复方案至关重要。请参阅我们的凭据管理器评分，对比不同产品在安全性、灾备恢复及数字遗产方面的表现。如果 passkeys 彻底无法恢复，您可能需要走各个网站或应用原本提供的账户人工找回流程。

不会。Passkeys 并不绑定您的手机号码——它们绑定的是您的凭据管理器账户或具体设备，因此更换运营商不会对其产生影响。只需确保在淘汰或转让旧手机之前，新设备已成功登录并接入了您的凭据管理器即可。

部分凭据管理器目前已支持该功能，另一些则尚未开放。如果您对数据的自主备份掌控权有较高要求，请专门查阅所选凭据管理器的具体导出功能说明。

这取决于您的 passkeys 存储在何处。如果凭据管理器负责在您的设备间同步 passkeys，通常每个账户保留一个 passkey 即可。如果您的 passkey 仅保存在单一设备上，或者您希望拥有冗余的备用访问渠道，那么创建额外的 passkey 是个好习惯。

部分网站在账户安全设置中提供了该选项，但这并非行业通行标准。具体取决于相应网站的安全策略配置。

只要网站或应用提供支持，推荐优先使用 passkey。是否能完全移除密码取决于网站本身。有些网站支持纯 passkey 账户，而有些网站则保留密码作为额外的登录或找回手段。如果您选择停用密码，请务必确保在失去 passkey 时拥有其他切实可靠的账户访问或恢复手段。

是的。Passkeys 的设计从根源上防御了网络钓鱼以及其他窃取密码和验证码的常见攻击手法。每个 passkey 都是针对特定网站或应用生成的唯一密钥，因此无法被凭空猜解、无法在其他网站撞库，也不会被欺骗在钓鱼网站上生效。

攻击者只有在能够解锁您设备（通过指纹、面容或锁屏 PIN 码）的前提下才能使用 passkeys，因为调用设备存储的 passkey 必须先通过这层验证。对于远程攻击者来说，这比窃取普通密码要困难得多。

技术上是可以区分的，但对于绝大多数日常登录来说并没有差异——二者均被视作具备同等的可信度。

会存在一定风险，但该风险与传统的密码数据库泄露截然不同。Passkeys 并非像密码那样属于可复用的静态机密，攻击者无法简单地偷走一个 passkey 就直接登录您的账户。此外，您的 passkeys 还受到凭据管理器本身的安全机制以及访问所用设备的安全防护。这正是挑选一款高安全性凭据管理器的重要所在。请参阅我们的凭据管理器评分，对比不同产品如何保护您的 passkeys 和账户安全。

有时可以。部分凭据管理器允许您与家人或其他受信赖的人安全共享 passkeys。能否共享取决于您使用的凭据管理器，以及对应网站或应用是否允许共享该 passkey。请参阅我们的凭据管理器评分，对比查看哪些选项支持家庭共享。

这取决于您的凭据管理器。部分产品提供了紧急访问、遗产联系人或其他数字遗产继承机制，以便在发生意外时协助受信任的亲友访问您的账户或凭据。如果您重视此项保障，建议提前进行配置。请参阅我们的凭据管理器评分，对比不同方案对数字遗产特性的支持力度。

不一定。如果您失去了凭据管理器所依赖的平台账户的访问权，您也可能会连带失去对通过该凭据管理器存储或同步的 passkeys 的访问权限。具体后果取决于服务商策略以及您此前设置的恢复方案。这也是为什么搞清楚凭据管理器如何处理账户灾备找回至关重要的原因之一。请参阅我们的凭据管理器评分以对比不同选择。

从设计原理上看并不会。不过在实际应用中，各大凭据管理器在全面支持 passkey 迁移方面仍在逐步推进，但大多数主流凭据管理器目前已支持将包括 passkeys 在内的凭据安全迁移至其他服务。整套生态对“凭据交换 (Credential Exchange)”的支持正在加速普及。请参阅凭据管理器评分部分中的“自由迁移导出”类别。

底层技术标准本身是完全支持这一特性的，只是尚未被所有厂商开发出简便易用的迁移工具。这属于各厂商功能迭代的滞后，而非 passkeys 本身的技术缺陷。

这是相当中肯的反馈。由于 passkeys 对大多数人而言依然是一项新概念，很多网站尚未投入精力制作清晰易懂的科普说明。这是整个行业当前普遍存在的痛点。这也正是我们搭建本网站的原因之一！

Passkeys 建立在 Apple、Google 和 Microsoft 共同维护与支持的开放工业标准（FIDO2）之上，因此它是长期的发展方向，而非昙花一现的短期产物。现在就启用 passkeys，能立即显著降低您当下所面临的账户被盗风险。

核心交互理念（解锁您的设备即可直接登录网站）将长期保持一致。目前正在持续优化和迭代的，主要是上文所提到的跨设备同步体验以及不同凭据管理器之间的迁移机制。