登入兩步驟驗證

跟完這篇，你的帳號在密碼之外多一道 6 位驗證碼——別人光有密碼進不來，而你自己手機遺失了也還有路進得去。

開始之前

入口在我的帳號 → 登入安全（經典介面從「平台設定」進，桌面介面在開始選單裡）。兩步驟驗證是每個人給自己開的，管理員不能替別人開，也沒有「強制全家都開」的開關。動手前先在手機上裝一個驗證器 App——就是那種每 30 秒換一次 6 位數字的小工具，Microsoft Authenticator、Google Authenticator、1Password、Bitwarden 都可以。

一、開啟驗證器

1
打開登入安全
去哪裡：我的帳號 → 登入安全 → 最上面的「驗證器」。
2
開始綁定
做什麼：點「啟用驗證器」。上次開到一半離開的話，按鈕會顯示「繼續綁定」，接著點就行。
3
掃描 QR Code
做什麼：用驗證器 App 掃描螢幕上的 QR Code。正拿手機看這個頁面、不方便掃描的話，點金鑰旁邊的「複製」，在 App 裡選手動新增再貼上。
4
輸入 6 位數字
做什麼：把 App 上顯示的數字填進「驗證碼」，點「確認啟用」。 怎麼算成功：卡片上的狀態從「未啟用」變成「已啟用」。
5
把 10 個備援碼存好
做什麼：這一步會一次給出 10 個備援碼，複製到密碼管理員裡，或者列印出來放抽屜。存好之後點「我已保存」。

備援碼只出現這一次

離開那個頁面就再也看不到了——雲瞰不留明文副本。當時沒存下來也不用把驗證器重綁一遍：回到同一張卡片點「重新產生備援碼」，輸一次目前密碼就能換一批新的，舊的同時作廢。

二、以後登入會多一步

開啟之後，網頁後台和手機 App 的登入都變成兩步：先使用者名稱密碼，再輸驗證器上的 6 位數字。數字每 30 秒換一次，輸的時候看目前顯示的那個就好。

網頁 —— 密碼這一步通過後出現驗證碼輸入框，下面還有一行「改用備援碼」。
Android / iOS App —— 同樣多一頁驗證碼，也能切到備援碼。登入一次之後照舊記住，不用每天都輸。
連著輸錯 5 次會鎖 5 分鐘 —— 防的是別人拿著你的密碼慢慢猜驗證碼。等 5 分鐘再試就行，不需要找管理員解鎖。

手機時間不準會一直提示驗證碼錯誤

驗證器算的是「目前這個時間該顯示什麼」，手機時鐘和伺服器差出半分鐘以上就對不上了。把手機的日期與時間設成自動校時，通常一下就好了。

用單一登入進來的不用再輸一遍

點「使用 XX 登入」進來的話，驗證在對方那邊已經做過了，雲瞰不會再要一次驗證碼。見〈單一登入〉。

三、手機遺失了、驗證器被清空了

1
先用備援碼
做什麼：在登入頁的驗證碼那一步點「改用備援碼」，填一個當初存下來的碼。注意：每個碼只能用一次，用掉就少一個。卡片上會顯示還剩幾個，剩得不多時點「重新產生備援碼」換一批。
2
進去之後重新綁一台手機
做什麼：我的帳號 → 登入安全 →「停用驗證器」（要輸目前密碼），然後重新走一遍第一節，用新手機掃描 QR Code。
3
備援碼也沒了，找管理員
做什麼：讓管理員在平台設定 → 使用者管理裡點開你 →「安全 & 測試」→「重設兩步驟驗證」。之後：你的密碼不變，下次登入只要密碼，進去以後再重新綁一個新手機。

唯一的管理員請務必存好備援碼

管理員不能重設自己的兩步驟驗證——這道限制防的是「有人摸到你已經登入的瀏覽器，順手把兩步驟驗證關掉」。所以家裡只有一個管理員時，備援碼就是唯一的自助出口。穩妥一點的做法：把備援碼放進密碼管理員，再多建一個管理員帳號備用。

四、關掉它

我的帳號 → 登入安全 →「停用驗證器」，輸一次目前密碼即可。停用之後登入只要密碼，備援碼同時全部作廢。換手機、換驗證器 App 也是走「停用 → 重新啟用」這一條路。

五、哪些地方還用不了

兩步驟驗證涵蓋網頁後台和手機 App。下面這幾處目前只認使用者名稱密碼，遇到開了兩步驟驗證的帳號會登入失敗：

連在電視上的大螢幕介面 —— 給它單獨建一個不開兩步驟驗證的帳號，權限按唯讀給就行。
舊版手機 App —— 會提示登入失敗但說不清原因，把 App 更新到新版即可。
舊版 Home Assistant 整合 —— 新版已經改成「跳到雲瞰點授權」，開著兩步驟驗證也能連；停在舊版的話先升級，見〈Home Assistant 整合〉。

六、常見問題

提示驗證碼不正確，但我確認沒輸錯 —— 十之八九是手機時間不準，見上面那條。也可能是 App 裡存了同名的兩條（換過伺服器位址時容易發生），刪掉舊的那條。
能不能不用手機 —— 可以。1Password、Bitwarden 這類密碼管理員的桌面版也能當驗證器，掃描那一步直接在電腦上完成。
開了之後手機 App 每次都要輸嗎 —— 不用。App 登入一次之後照舊保持登入，只有重新登入才會再要。
管理員能看到我的驗證碼或備援碼嗎 —— 看不到。備援碼只在產生那一刻顯示一次，伺服器上存的是不可還原的摘要；管理員能做的只有「清掉你的兩步驟驗證」這一件事，清完他也進不了你的帳號（還得有密碼）。
我給自己開了，家人是不是也得開 —— 各開各的，互不影響。