登录方式正在换代：通行密钥普及后，普通用户该怎样迁移？

密码还没消失，现在值得提前搬家吗？

如果一个网站同时提供密码和通行密钥，你该立刻切换，还是继续用熟悉的密码？我的判断是：常用账户可以开始迁移，但不要一次性删除全部旧凭据。如今 Google、Apple、Microsoft 等平台都已支持通行密钥，越来越多应用也把它放进安全设置，登录习惯正在从“记住一串字符”转向“用设备确认本人”。

通行密钥采用公钥密码技术：网站保存公钥，私钥留在你的设备或凭据服务中。登录时通常用指纹、面容或设备 PIN 授权，不需要把可被钓鱼网站套走的密码交出去。它带来的具体变化是，撞库和仿冒登录页更难得手，但换手机、跨平台使用及账户恢复变得更值得关注。

三种保存方案，差别在换设备时出现

目前个人用户常见的方案有三类，它们并非单纯的安全排名，关键在于你的设备组合。

• 系统自带同步：适合长期使用同一生态的人，创建和登录最顺手。若手机、电脑来自不同平台，应先确认跨设备调用方式。
• 跨平台密码管理器：适合同时使用 Windows、macOS、Android 或 iPhone 的用户，可把密码与通行密钥集中管理，但要保护好管理器主账户。
• 硬件安全密钥：凭据存放在独立设备中，适合重要账户或高风险职业。缺点是需要购买、随身携带，并准备备用密钥。

对多数人来说，系统同步或可信密码管理器已经足够实用。硬件密钥更像加强型方案，不必因为追求“最安全”就给每个普通账户增加操作负担。

真正容易踩坑的是恢复流程

指纹和面容通常只是本机解锁手段，并不会直接上传给网站；但这不等于账户从此万无一失。手机丢失、同步账户被锁，或某项服务只在部分设备支持通行密钥时，你仍可能需要邮箱、验证码、恢复码或旧密码。

因此，迁移时不要只测试“能否登录”，还要测试失去原设备后能否回来。共享账号也要谨慎：把自己的通行密钥交给家人并不理想，更合适的做法是使用服务提供的家庭成员、子账号或安全共享功能。

今天就能完成的迁移清单

可以先挑一个影响较小的常用服务试运行，再逐步扩展到核心账户：

1. 更新手机与电脑系统，并为设备设置强 PIN、指纹或面容解锁。
2. 先检查主邮箱和同步账户，补充备用邮箱、手机号及恢复码。
3. 在支持的服务中创建通行密钥，确认它保存在哪个系统或管理器里。
4. 分别在手机和电脑上登录一次，测试扫码、蓝牙近距离确认等跨设备流程。
5. 保留旧密码数周；确认多台设备和恢复方式可用后，再决定是否移除。
6. 为核心账户准备第二种验证或备用硬件密钥，并把恢复码离线保存。

最稳妥的策略不是追求一夜“无密码”，而是先迁移高频账户、验证跨设备体验，再处理邮箱与支付等关键入口。这样既能尽快减少钓鱼风险，也不会在换机时把自己挡在门外。