通行密钥、TOTP 和多因素认证怎样配合

1. 在目标网站官方安全设置查看支持密码、通行密钥及哪些第二步验证。
2. 确定通行密钥保存方或 TOTP 应用，核对免费范围与设备支持。
3. 保持原有可用登录方式，按照网站流程建立新方式。
4. 用本人设备核对新登录方式可用，查看凭据保存位置与注册名称。
5. 保存该网站的恢复材料，检查丢失设备后还能使用哪条独立路径。

先分清登录凭据与认证组合

密码可以被记忆和输入；通行密钥保存在设备、凭据提供方或硬件中，以公钥认证完成登录；TOTP 由验证器保存的共享秘密按时间产生代码。多因素认证关注认证因素的组合，不能只按屏幕出现几次提示判断。

• 指纹或面容通常用于本地用户验证，并不表示把生物信息交给每个网站。
• 通行密钥可以替代密码，也可能在网站策略中作为第二步；实际路径由网站决定。
• 设备绑定与同步型通行密钥有不同恢复依赖，创建时记录保存到哪里。

抗钓鱼优势来自服务绑定，也有边界

FIDO 官方说明通行密钥与服务域名绑定，有助于抵抗把凭据交给仿冒站点的钓鱼。这个优势不等于设备失守、会话被窃或弱恢复流程都不再有风险。网站仍保留密码或恢复入口时，那些入口也需要维护。

• 在网站安全设置中查看已注册的通行密钥及备用登录方式。
• 只在本人拥有和使用的设备上创建；共享设备不适合作为个人长期凭据载体。
• 保留可验证的备用入口，直到新的登录方式确实可以使用。

TOTP 要在正确站点输入，不能交给他人

TOTP 代码会过期，但它仍是可以输入、复制的代码。攻击者若诱导你在仿冒页面提交有效代码，可能立即使用；“每隔一段时间变化”不能代替核对登录域名与自己是否发起本次登录。

• 只在你主动进入的官方登录流程使用代码，不向聊天中的“客服”口述。
• 建立 TOTP 时保存的二维码或秘密种子能生成后续代码，不能公开截图。
• 若密码与 TOTP 都存在同一密码库，使用方便，但密码库访问受损时可能同时暴露两者；按重要程度安排分开保存。

免费密码库不一定免费生成内置验证码

Bitwarden 官方区分独立验证器与密码管理器内置验证器：密码库免费账户可存 TOTP 秘密，内置生成代码要求 Premium 或符合条件的付费组织成员。Proton Pass 免费方案支持最多 3 个 2FA 条目，不限验证码属于付费方案。Microsoft Authenticator 可作为另一个验证器选项，但要另做迁移与恢复准备。

• 不要看到记录里有“2FA”字段，就假定免费方案已能持续生成代码。
• 为密码管理器本身开启二次验证时，避免把唯一验证码只存在被它保护的同一个库里。
• Apple 密码 App 官方支持为兼容网站设置验证代码，具体适用设备与系统版本按官方说明核对。

虚构案例：同一账号有两条不同入口

虚构“课程账号 A”支持密码加 TOTP，也支持通行密钥。用户在个人电脑创建通行密钥后，用一次新的登录核对，再查看原密码与 TOTP 是否仍启用，并把恢复材料的保管位置记入私人的账号清单。这里不展示密码、验证码、种子或恢复码。

• 没有通行密钥选项时，不能靠安装密码管理器让不支持的网站突然支持它。
• 提示保存位置时确认使用哪个密码管理器或系统账号，不让凭据散落而自己不知情。
• 新增方式后仍检查恢复信息，避免只改变常用登录却留下不可用的备用入口。

准备事项对照表

相关指南

相关保护能力

• 通行密钥：比较设备保存、账号同步与网站侧替代登录入口。
• 第二因素：识别验证码、推送和恢复码的不同作用，避免把密码库解锁与网站验证混为一谈。

可用工具与条件

继续查看工具的免费范围、支持平台与恢复边界。