通行密钥

跟完这篇，你打开云瞰网页按一下指纹就进去了，用户名和密码一个都不用输。

开始之前

入口在我的账号 → 登录安全 → 通行密钥。有一条硬前提：必须通过 HTTPS 域名访问云瞰，用 IP 地址打开时这张卡里没有添加按钮。目前网页端支持（电脑和手机浏览器都算），手机 App 里暂时还用不了。

一、这是什么

通行密钥是一把存在你设备里的钥匙。登录时浏览器先用指纹、面容或者这台设备的开机密码确认「是本人在操作」，确认过了才把钥匙拿出来和云瞰对一下。整个过程没有密码出现，也就不存在被猜到、被钓走、在别处泄露后被人拿来试的问题。钥匙的一半留在你设备里从不外传，云瞰这边存的是另一半，就算被人拿走也登不进任何账号。

能当通行密钥用的东西比想象中多：

电脑本身 —— Windows 的面容或 PIN、Mac 的触控 ID。
手机 —— 用手机浏览器打开云瞰时，指纹和面容都可以。
密码管理器 —— 1Password、Bitwarden、苹果的钥匙串。存在这里的钥匙能跟着账号同步到你的其它设备。
硬件安全钥匙 —— 插在 USB 口上的那种小棒子。

二、卡片上说「需要通过 HTTPS 域名访问」

这是浏览器的硬性规定，不是云瞰的限制：通行密钥和域名绑死，浏览器只肯为带证书的域名创建钥匙，IP 地址和明文 http 一律不行。所以用 http://192.168.1.10:23406 打开时，添加按钮不会出现。

配一个域名要多久

比想象中省事：有一个自己的域名就行，证书在云瞰的网页里点几下自动申请，不用会命令行，也不用把 80 端口开出去。步骤见〈外网访问〉。配好之后顺带解决了「在外面能不能看家里」这件事。

局域网和外网用的是两个地址怎么办

通行密钥跟着域名走，两个地址就是两把钥匙，各添加一次即可。想省事就让局域网也走同一个域名（在路由器上把这个域名解析到家里那台机器）。

三、添加一把

1
打开登录安全
去哪里：我的账号 → 登录安全 →「通行密钥」。
2
点「添加通行密钥」
做什么：给它起个名字，比如「书房台式机」「我的手机」。以后设备多了，靠这个名字分辨该删哪把。
3
按系统弹窗的提示做
做什么：接下来是操作系统或浏览器接管——按指纹、看一眼摄像头，或者输入这台设备的开机密码。想把钥匙存进密码管理器的话，弹窗里通常会有选项让你选存到哪儿。
4
确认加上了
怎么算成功：列表里出现这一条，写着添加时间和「还没用过」。

四、用它登录

退出登录再看登录页，密码框下面多了一行「使用通行密钥登录」。点它，按一下指纹，直接进去——用户名都不用填，因为钥匙自己知道是谁。

它也可以只当第二重确认：开着验证器的账号，输完密码那一步会多一个「用通行密钥确认」，按指纹代替输 6 位数字。两种用法不冲突，看当时哪个顺手。

五、管理已有的钥匙

改名 —— 设备多了之后靠名字认，随时能改。
删除 —— 删掉之后这台设备不能再用它登录，密码登录不受影响。手机丢了、电脑处理掉了，第一时间来这里删。
「已同步」标记 —— 说明这把钥匙存在密码管理器或者系统账号里，能在你的其它设备上用；没有这个标记的就只在添加它的那台设备上有效。
最近使用 —— 一直显示「还没用过」的多半是当初添加完就没再用过，或者添加时用的域名和你现在访问的不是同一个。

六、换了域名，旧钥匙就用不了了

这是设计如此，不是坏了

浏览器为了防钓鱼，把每一把通行密钥和创建它的域名死死绑在一起——换个域名，哪怕后面是同一台服务器、同一个账号，钥匙也认不出来。所以换域名之后：老的那些条目在列表里还在，但登录时会提示找不到可用的钥匙。删掉它们，用新域名重新添加一次就好。这期间用密码登录照常。

七、还有哪些限制

手机 App 里暂时不支持 —— 手机 App 要用通行密钥，得让苹果和谷歌的服务器能从公网抓到一个配对文件，而云瞰装在你自己家里，做不到这件事。手机上想用就先用浏览器打开云瞰网页。
太老的浏览器不支持 —— 近几年的 Chrome、Edge、Safari、Firefox 都没问题。
它不替代密码 —— 云瞰不会因为你加了通行密钥就把密码停掉。钥匙全丢了照旧能用密码进，不存在被锁在门外。

八、常见问题

点了没反应，或者提示已取消 —— 系统弹窗被关掉了（有时它藏在别的窗口后面），再点一次。
提示这台设备上已经添加过 —— 同一台设备对同一个云瞰只留一把，这是浏览器的规矩。想换个名字用「改名」，不用删了重加。
换新手机了 —— 用密码管理器或系统账号同步的钥匙会跟着过去；只存在旧手机本机的那把没法搬，在新手机上重新添加，顺手把旧的删掉。
家里人能用我的指纹登录我的账号吗 —— 不能。确认「是不是本人」这一步由你的手机或电脑负责，别人的指纹解不开你的设备，自然也拿不出钥匙。