# 通行密鑰

跟完這篇，你打開雲瞰網頁按一下指紋就進去了，使用者名稱和密碼一個都不用輸。

> **ℹ️ 開始之前**
>
> 入口在**我的帳號 → 登入安全 → 通行密鑰**。有一條硬前提：必須透過 **HTTPS 網域**存取雲瞰，用 IP 位址打開時這張卡片裡沒有新增按鈕。目前網頁端支援（電腦和手機瀏覽器都算），手機 App 裡暫時還用不了。

## 一、這是什麼

通行密鑰是一把存在你裝置裡的鑰匙。登入時瀏覽器先用指紋、臉部辨識或者這台裝置的密碼確認「是本人在操作」，確認過了才把鑰匙拿出來和雲瞰對一下。整個過程沒有密碼出現，也就不存在被猜到、被釣走、在別處外洩後被人拿來試的問題。鑰匙的一半留在你裝置裡從不外傳，雲瞰這邊存的是另一半，就算被人拿走也登不進任何帳號。

能當通行密鑰用的東西比想像中多：

- **電腦本身** —— Windows 的臉部辨識或 PIN、Mac 的 Touch ID。
- **手機** —— 用手機瀏覽器打開雲瞰時，指紋和臉部辨識都可以。
- **密碼管理員** —— 1Password、Bitwarden、Apple 的 iCloud 鑰匙圈。存在這裡的鑰匙能跟著帳號同步到你的其它裝置。
- **硬體安全金鑰** —— 插在 USB 埠上的那種小棒子。

## 二、卡片上說「需要透過 HTTPS 網域存取」

這是瀏覽器的硬性規定，不是雲瞰的限制：通行密鑰和網域綁死，瀏覽器只肯為帶憑證的網域建立鑰匙，IP 位址和明文 http 一律不行。所以用 `http://192.168.1.10:23406` 打開時，新增按鈕不會出現。

> **💡 配一個網域要多久**
>
> 比想像中省事：有一個自己的網域就行，憑證在雲瞰的網頁裡點幾下自動申請，不用會指令列，也不用把 80 連接埠開出去。步驟見〈[外網存取](/docs/remote-access)〉。配好之後順帶解決了「在外面能不能看家裡」這件事。

> **ℹ️ 區域網路和外網用的是兩個位址怎麼辦**
>
> 通行密鑰跟著網域走，兩個位址就是兩把鑰匙，各新增一次即可。想省事就讓區域網路也走同一個網域（在路由器上把這個網域解析到家裡那台機器）。

## 三、新增一把

1. **打開登入安全**

   **去哪裡**：我的帳號 → 登入安全 →「通行密鑰」。

2. **點「新增通行密鑰」**

   **做什麼**：給它取個名字，比如「書房桌機」「我的手機」。以後裝置多了，靠這個名字分辨該刪哪把。

3. **按系統彈出視窗的提示做**

   **做什麼**：接下來是作業系統或瀏覽器接管——按指紋、看一眼鏡頭，或者輸入這台裝置的密碼。想把鑰匙存進密碼管理員的話，彈出視窗裡通常會有選項讓你選存到哪裡。

4. **確認加上了**

   **怎麼算成功**：清單裡出現這一條，寫著新增時間和「還沒用過」。

## 四、用它登入

登出再看登入頁，密碼框下面多了一行「使用通行密鑰登入」。點它，按一下指紋，直接進去——使用者名稱都不用填，因為鑰匙自己知道是誰。

它也可以只當第二重確認：開著驗證器的帳號，輸完密碼那一步會多一個「用通行密鑰確認」，按指紋代替輸 6 位數字。兩種用法不衝突，看當時哪個順手。

## 五、管理已有的鑰匙

- **重新命名** —— 裝置多了之後靠名字認，隨時能改。
- **刪除** —— 刪掉之後這台裝置不能再用它登入，密碼登入不受影響。手機遺失、電腦處理掉了，第一時間來這裡刪。
- **「已同步」標記** —— 說明這把鑰匙存在密碼管理員或者系統帳號裡，能在你的其它裝置上用；沒有這個標記的就只在新增它的那台裝置上有效。
- **最近使用** —— 一直顯示「還沒用過」的多半是當初新增完就沒再用過，或者新增時用的網域和你現在存取的不是同一個。

## 六、換了網域，舊鑰匙就用不了了

> **⚠️ 這是設計如此，不是壞了**
>
> 瀏覽器為了防釣魚，把每一把通行密鑰和建立它的網域死死綁在一起——換個網域，哪怕後面是同一台伺服器、同一個帳號，鑰匙也認不出來。所以換網域之後：舊的那些項目在清單裡還在，但登入時會提示找不到可用的鑰匙。刪掉它們，用新網域重新新增一次就好。這期間用密碼登入照常。

## 七、還有哪些限制

- **手機 App 裡暫時不支援** —— 手機 App 要用通行密鑰，得讓 Apple 和 Google 的伺服器能從公網抓到一個配對檔案，而雲瞰裝在你自己家裡，做不到這件事。手機上想用就先用瀏覽器打開雲瞰網頁。
- **太舊的瀏覽器不支援** —— 近幾年的 Chrome、Edge、Safari、Firefox 都沒問題。
- **它不取代密碼** —— 雲瞰不會因為你加了通行密鑰就把密碼停掉。鑰匙全丟了照舊能用密碼進，不存在被鎖在門外。

## 八、常見問題

- **點了沒反應，或者提示已取消** —— 系統彈出視窗被關掉了（有時它藏在別的視窗後面），再點一次。
- **提示這台裝置上已經新增過** —— 同一台裝置對同一個雲瞰只留一把，這是瀏覽器的規矩。想換個名字用「重新命名」，不用刪了重加。
- **換新手機了** —— 用密碼管理員或系統帳號同步的鑰匙會跟著過去；只存在舊手機本機的那把沒法搬，在新手機上重新新增，順手把舊的刪掉。
- **家裡人能用我的指紋登入我的帳號嗎** —— 不能。確認「是不是本人」這一步由你的手機或電腦負責，別人的指紋解不開你的裝置，自然也拿不出鑰匙。

## 相關教學

- [登入兩步驟驗證](/docs/two-factor)——驗證器與備援碼
- [外網存取](/docs/remote-access)——配網域和自動申請憑證
- [單一登入](/docs/sso)——用現有帳號體系登入

---

來源:https://yun-kan.com/zh-TW/docs/passkeys