# 通行密钥

跟完这篇，你打开云瞰网页按一下指纹就进去了，用户名和密码一个都不用输。

> **ℹ️ 开始之前**
>
> 入口在**我的账号 → 登录安全 → 通行密钥**。有一条硬前提：必须通过 **HTTPS 域名**访问云瞰，用 IP 地址打开时这张卡里没有添加按钮。目前网页端支持（电脑和手机浏览器都算），手机 App 里暂时还用不了。

## 一、这是什么

通行密钥是一把存在你设备里的钥匙。登录时浏览器先用指纹、面容或者这台设备的开机密码确认「是本人在操作」，确认过了才把钥匙拿出来和云瞰对一下。整个过程没有密码出现，也就不存在被猜到、被钓走、在别处泄露后被人拿来试的问题。钥匙的一半留在你设备里从不外传，云瞰这边存的是另一半，就算被人拿走也登不进任何账号。

能当通行密钥用的东西比想象中多：

- **电脑本身** —— Windows 的面容或 PIN、Mac 的触控 ID。
- **手机** —— 用手机浏览器打开云瞰时，指纹和面容都可以。
- **密码管理器** —— 1Password、Bitwarden、苹果的钥匙串。存在这里的钥匙能跟着账号同步到你的其它设备。
- **硬件安全钥匙** —— 插在 USB 口上的那种小棒子。

## 二、卡片上说「需要通过 HTTPS 域名访问」

这是浏览器的硬性规定，不是云瞰的限制：通行密钥和域名绑死，浏览器只肯为带证书的域名创建钥匙，IP 地址和明文 http 一律不行。所以用 `http://192.168.1.10:23406` 打开时，添加按钮不会出现。

> **💡 配一个域名要多久**
>
> 比想象中省事：有一个自己的域名就行，证书在云瞰的网页里点几下自动申请，不用会命令行，也不用把 80 端口开出去。步骤见〈[外网访问](/docs/remote-access)〉。配好之后顺带解决了「在外面能不能看家里」这件事。

> **ℹ️ 局域网和外网用的是两个地址怎么办**
>
> 通行密钥跟着域名走，两个地址就是两把钥匙，各添加一次即可。想省事就让局域网也走同一个域名（在路由器上把这个域名解析到家里那台机器）。

## 三、添加一把

1. **打开登录安全**

   **去哪里**：我的账号 → 登录安全 →「通行密钥」。

2. **点「添加通行密钥」**

   **做什么**：给它起个名字，比如「书房台式机」「我的手机」。以后设备多了，靠这个名字分辨该删哪把。

3. **按系统弹窗的提示做**

   **做什么**：接下来是操作系统或浏览器接管——按指纹、看一眼摄像头，或者输入这台设备的开机密码。想把钥匙存进密码管理器的话，弹窗里通常会有选项让你选存到哪儿。

4. **确认加上了**

   **怎么算成功**：列表里出现这一条，写着添加时间和「还没用过」。

## 四、用它登录

退出登录再看登录页，密码框下面多了一行「使用通行密钥登录」。点它，按一下指纹，直接进去——用户名都不用填，因为钥匙自己知道是谁。

它也可以只当第二重确认：开着验证器的账号，输完密码那一步会多一个「用通行密钥确认」，按指纹代替输 6 位数字。两种用法不冲突，看当时哪个顺手。

## 五、管理已有的钥匙

- **改名** —— 设备多了之后靠名字认，随时能改。
- **删除** —— 删掉之后这台设备不能再用它登录，密码登录不受影响。手机丢了、电脑处理掉了，第一时间来这里删。
- **「已同步」标记** —— 说明这把钥匙存在密码管理器或者系统账号里，能在你的其它设备上用；没有这个标记的就只在添加它的那台设备上有效。
- **最近使用** —— 一直显示「还没用过」的多半是当初添加完就没再用过，或者添加时用的域名和你现在访问的不是同一个。

## 六、换了域名，旧钥匙就用不了了

> **⚠️ 这是设计如此，不是坏了**
>
> 浏览器为了防钓鱼，把每一把通行密钥和创建它的域名死死绑在一起——换个域名，哪怕后面是同一台服务器、同一个账号，钥匙也认不出来。所以换域名之后：老的那些条目在列表里还在，但登录时会提示找不到可用的钥匙。删掉它们，用新域名重新添加一次就好。这期间用密码登录照常。

## 七、还有哪些限制

- **手机 App 里暂时不支持** —— 手机 App 要用通行密钥，得让苹果和谷歌的服务器能从公网抓到一个配对文件，而云瞰装在你自己家里，做不到这件事。手机上想用就先用浏览器打开云瞰网页。
- **太老的浏览器不支持** —— 近几年的 Chrome、Edge、Safari、Firefox 都没问题。
- **它不替代密码** —— 云瞰不会因为你加了通行密钥就把密码停掉。钥匙全丢了照旧能用密码进，不存在被锁在门外。

## 八、常见问题

- **点了没反应，或者提示已取消** —— 系统弹窗被关掉了（有时它藏在别的窗口后面），再点一次。
- **提示这台设备上已经添加过** —— 同一台设备对同一个云瞰只留一把，这是浏览器的规矩。想换个名字用「改名」，不用删了重加。
- **换新手机了** —— 用密码管理器或系统账号同步的钥匙会跟着过去；只存在旧手机本机的那把没法搬，在新手机上重新添加，顺手把旧的删掉。
- **家里人能用我的指纹登录我的账号吗** —— 不能。确认「是不是本人」这一步由你的手机或电脑负责，别人的指纹解不开你的设备，自然也拿不出钥匙。

## 相关教程

- [登录二次验证](/docs/two-factor)——验证器与恢复码
- [外网访问](/docs/remote-access)——配域名和自动申请证书
- [单点登录](/docs/sso)——用现有账号体系登录

---

来源:https://yun-kan.com/zh-CN/docs/passkeys