什么是 Passkey？

Passkey（通行密钥）是一种更安全、更便捷的无密码登录方式。简单来说，它可以让你不用输入传统密码，而是通过手机、电脑或硬件安全设备完成身份验证，例如使用指纹、面容识别、设备锁屏密码、PIN 码或硬件安全密钥登录应用和网站。

和传统密码相比，Passkey 不需要用户记住复杂密码，也不需要在不同平台重复使用密码，因此可以有效降低弱密码、密码泄露、撞库攻击和钓鱼网站带来的风险。

注：Passkey 的可用性可能因手机型号、系统版本、浏览器、系统凭据管理器或厂商适配情况而不同。如你的设备暂不支持 Passkey，可能无法创建或使用 Passkey 账户，请以实际页面提示为准，或咨询设备制造商。

Passkey 是怎么工作的？

Passkey 基于公钥密码学。当你在某个应用或网站创建 Passkey 时，设备会生成一对密钥：一个公钥和一个私钥。

公钥会保存在应用或网站的服务器上，用于验证你的身份；私钥则保存在你的手机、电脑、系统密码管理器、安全芯片或硬件安全设备中，不会发送给网站或应用。

当你使用 Passkey 登录时，应用或网站会向你的设备发起验证请求。你通过指纹、面容识别、设备密码、PIN 码或硬件设备确认后，设备会用私钥完成签名，服务端再用公钥验证签名是否正确。验证通过后，你就可以完成登录。

也就是说，Passkey 登录过程中真正用于证明身份的是设备中的私钥，而不是你输入的一串密码。

Passkey 和指纹、面容识别是什么关系？

很多人会把 Passkey 理解成「指纹登录」或「刷脸登录」，但这并不完全准确。

指纹、面容识别或设备 PIN 码只是用来解锁本地设备中的 Passkey 私钥。应用或网站不会收到你的指纹或面容数据，也不会直接用这些生物特征来验证你的账户。

可以理解为：指纹、面容识别或 PIN 码是「打开钥匙的方式」，Passkey 才是真正用于登录验证的「钥匙」。

什么是硬件 Passkey？

除了保存在手机、电脑或系统密码管理器中的 Passkey，还有一种更独立的形式：硬件 Passkey。

硬件 Passkey 通常指支持 FIDO2 / WebAuthn 标准的硬件安全密钥或硬件认证器。和保存在手机或电脑里的 Passkey 不同，硬件 Passkey 的私钥通常只存储在硬件设备内部，不会导出到电脑、手机或云端账户中。

以 imKey Pass S6 为例，它是一款支持指纹验证的硬件 Passkey，基于 FIDO2 标准设计，可用于支持 Passkey / 安全密钥登录的网站和应用。当你使用 imKey Pass S6 登录账户时，需要将设备连接到电脑或手机，并通过指纹、PIN 码等方式确认操作。设备会在本地完成签名验证，网站或应用只会收到验证结果，而不会拿到用于登录验证的私钥。

因此，imKey Pass S6 这类硬件 Passkey 更像一把独立的实体钥匙，适合对账户安全要求更高、希望减少云端同步依赖的用户。

Passkey 和钱包私钥、助记词一样吗？

不一样。

Passkey 通常用于证明「是你本人在登录或进行账户级身份验证」，而钱包私钥和助记词代表的是链上资产控制权。

硬件 Passkey 也不等同于硬件钱包。硬件 Passkey 主要用于账户登录和身份验证，而硬件钱包主要用于生成、保存钱包私钥，并在本地完成链上交易签名。两者都可以提升安全性，但保护的对象和使用场景并不相同。

因此，使用 Passkey 并不意味着你可以忽视钱包安全。助记词、私钥、设备安全、交易签名内容和授权风险，仍然需要认真核对和妥善保护。

使用 Passkey 时需要注意什么？

首先，保护好你的手机、电脑或硬件安全设备，不要将设备解锁密码、系统账户密码、密码管理器账户或硬件设备 PIN 码泄露给他人。

其次，启用 Passkey 后，建议提前设置备用设备、备用 Passkey、备用安全密钥或账户恢复方式，避免设备丢失后无法登录。

最后，即使 Passkey 能降低密码钓鱼风险，你仍然需要警惕假网站、假 App 和恶意链接。尤其在 Web3 场景中，登录验证和链上交易签名是两件不同的事。每次签名或授权前，都应仔细核对交易内容、目标网站和合约信息。

总结

Passkey 是一种基于公钥密码学的无密码登录方式。它让用户可以通过指纹、面容识别、设备密码、PIN 码或硬件安全设备完成登录，同时降低传统密码泄露、重复使用和被钓鱼网站窃取的风险。

如果你希望进一步提升账户安全，也可以选择 imKey Pass S6 这类硬件 Passkey，将用于登录验证的私钥保存在独立硬件设备中。

但 Passkey 并不是万能的安全保证。无论使用的是手机里的 Passkey，还是独立的硬件 Passkey，都需要保护好设备和账户恢复方式，并在涉及钱包资产、链上签名和合约授权时保持谨慎。