登入 Google 或其他網站時，突然跳出「要不要建立通行密鑰」，看起來像要你多記一組東西。其實剛好相反，它是用來取代密碼的。
通行密鑰（Passkey）讓你用手機或電腦的指紋、臉部辨識或螢幕鎖定來登入，不用輸入密碼。最大的好處是不怕釣魚網站，只要確定是自己專用的裝置，建議開起來。
通行密鑰是什麼？跟密碼差在哪
通行密鑰是一組存在裝置裡的數位鑰匙，由兩半組成。一半放在網站上，一半留在你的裝置或密碼管理工具裡，不會傳給網站。
登入時，裝置會要你先用 Face ID、指紋或螢幕鎖定確認身分，再用鑰匙向網站證明是你。整個過程你不用輸入任何東西，所以也沒有東西可以被偷看或被騙走。
名稱不要搞混：Apple 和微軟多半叫「通行密鑰」，Google 的繁體中文頁面叫「密碼金鑰」，英文都是 Passkey，是同一種東西。
| 比較項目 | 密碼 | 通行密鑰 |
|---|---|---|
| 要不要記 | 要記，或存在密碼管理工具 | 不用記 |
| 登入方式 | 輸入密碼 | 指紋、臉部辨識或螢幕鎖定 |
| 假網站騙得走嗎 | 可能，輸入就被拿走 | 騙不走，只對應原本的網站 |
| 網站被駭會怎樣 | 密碼可能外洩 | 網站只有公開的那一半 |
| 支援範圍 | 幾乎所有網站 | 還有不少網站不支援 |
粗體代表該項比較有利的一方。
通行密鑰安全嗎？可以防什麼、防不了什麼
通行密鑰的安全性主要有兩點。第一，鑰匙綁定建立時的網站，假網站就算做得一模一樣，裝置也不會拿鑰匙給它。
第二，鑰匙的私密那一半不會交給網站，所以網站資料外洩時，駭客拿不到可以登入的東西。如果你常收到外洩通知，可以閱讀密碼外洩警告怎麼辦。
但它不是萬能的，有三件事要注意：
- 能解鎖裝置的人就能用： Google 官方提醒，只在自己專用的裝置上建立，因為任何能解鎖這台裝置的人，都可能登入你的帳號。家人共用的平板不要建。
- 舊的登入方式還在： 建立通行密鑰不會移除帳號原本的密碼和救援方式，所以原本的密碼還是要夠強。
- 擋不了手機裡的惡意程式： 手機已經中毒，或你在假畫面上輸入了其他資料，通行密鑰幫不上忙。
通行密鑰跟 VPN 有什麼不同
這兩個常被放在一起講，但保護的東西完全不同。通行密鑰保護的是「登入」，讓帳號不會因為密碼被騙而失守。
VPN 保護的是「連線」，會加密你和 VPN 伺服器之間的資料，並隱藏真實 IP。它主要用在公共 Wi-Fi 或出國的時候，你仍然可能把密碼輸入假網站，VPN 擋不了這件事。
如果常用機場或咖啡廳的網路，兩個可以一起用。公共網路有哪些實際風險，可以參考另一篇公共 Wi-Fi 安全嗎。
Google 帳戶怎麼設定通行密鑰
Google 帳戶可以用手機或電腦的瀏覽器設定，步驟如下：
- 開啟Google 帳戶的密碼金鑰頁面，登入 Google 帳戶。
- 點「建立密碼金鑰」：
- 依畫面用指紋、臉部辨識或螢幕鎖定確認身分。
- 完成後，同一頁會列出已建立的項目和所在裝置。
之後在這台裝置登入 Google，系統就會直接請你驗證身分。不想優先用它的話，可以到帳戶的「安全性與登入」，關閉「僅在必要時才輸入密碼」。
公司或學校發的 Google Workspace 帳號比較特別，管理員可能限制這個功能，選項不見時要問公司資訊人員。
iPhone 怎麼使用通行密鑰
iPhone 的通行密鑰存在iCloud 鑰匙圈，這是 Apple 內建的密碼同步功能。使用前要開啟 iCloud 鑰匙圈和 Apple 帳號的雙重認證。
確認方式：打開「設定」，點你的名字，點 iCloud，找到「密碼」或「密碼與鑰匙圈」，開啟「同步此 iPhone」：
圖片來源：Apple 支援
使用步驟如下，完整說明可以參考 Apple 的 iPhone 使用手冊：
- 在支援的網站或 App，找到建立通行密鑰的選項，通常在帳號安全設定裡。
- 依提示用 Face ID 或 Touch ID 確認，通行密鑰就會存進 iCloud 鑰匙圈。
- 下次登入時選用通行密鑰，再用 Face ID 或 Touch ID 確認，Apple 的範例畫面如下：
圖片來源：Apple 支援
iOS 18、macOS Sequoia 之後，可以在「密碼」App 裡查看所有已存的密碼和通行密鑰，選「通行密鑰」分類就只列出這一類。Mac 的畫面長這樣：
iPhone 上怎麼查看和修改已存的項目，可以閱讀iPhone 管理已儲存密碼教學。
沒看到建立選項，通常代表那個網站或 App 還不支援。
換手機或手機不見怎麼辦
這是最多人擔心的問題。答案要看通行密鑰存在哪裡，而同步版和綁定裝置版的處理方式不同。
存在雲端同步的（iCloud 鑰匙圈、Google 密碼管理工具、第三方密碼管理工具）： 新手機登入同一個帳號並開啟同步後，就能繼續用。iPhone 換 iPhone 通常不用重新建立。
只存在單一裝置或實體安全金鑰的： 這種不會同步，裝置不見就沒了。要靠其他裝置上的通行密鑰、原本的密碼或救援方式登入，再重新建立一把。
手機遺失時，建議照這個順序處理：
- 用其他裝置登入帳號，改掉主要帳號的密碼。
- 到帳號的通行密鑰管理頁面，移除遺失裝置上的那一把，Google 帳戶就是剛才設定的那一頁。
- 用「尋找」功能鎖定或清除手機，並檢查有沒有不明裝置登入。Android 用 Google 尋找中心，iPhone 的做法可以閱讀iPhone 尋找手機怎麼使用。
所以不要把通行密鑰當成唯一的登入方式。至少留一支備用手機號碼或救援方式，再開啟兩步驟驗證，手機不見時才不會被鎖在帳號外。
手機裡如果還有 Google Authenticator 這類驗證 App，換手機要另外轉移，可以參考另一篇Google Authenticator 換手機怎麼轉移。
要用 iCloud、Google 還是密碼管理工具存？
只用 Apple 裝置的話，iCloud 鑰匙圈最省事，也不用另外付費。Windows 和 Android 為主的話，Google 密碼管理工具或 Windows Hello 就能用。
同時有 iPhone、Windows 和 Android，第三方密碼管理工具會比較方便，通行密鑰可以跟著帳號跨系統使用。
NordPass 免費版就能存無限密碼和通行密鑰，限制是同時只能在 1 台裝置保持登入。實際使用心得可以閱讀NordPass 評價。
其他選擇和方案差異，可以參考另一篇密碼管理器推薦。
常見問題
建立通行密鑰後，還可以用密碼登入嗎？
通常可以。以 Google 來說，建立後不會變更或移除原本的驗證和救援方式。
但原本的密碼也因此還是能被拿來試登入，所以密碼仍要夠強，也別跟其他網站共用。
在別人的電腦上要怎麼登入？
選擇用其他裝置登入，電腦畫面會出現 QR Code，用手機掃描並完成驗證就行。
Apple 和微軟都有這種做法。登入後記得登出，也不要在那台電腦上另外建立通行密鑰。
通行密鑰可以刪除嗎？
可以。Google 帳戶到剛才的管理頁面移除，iPhone 則到「密碼」App 裡找到該項目刪除。
只刪裝置上的項目，網站端不一定會同步移除，建議也到該網站的帳號安全設定確認。
哪些網站支援通行密鑰？
Google、Apple 和微軟的帳號都支援，第三方網站則陸續增加中。
最快的方法是到該網站的「帳號安全」設定看有沒有 Passkey 或通行密鑰選項。沒有的話，先用密碼加兩步驟驗證。
想先查清單的話，可以看 Passkeys.directory，這是 1Password 提供、社群回報的英文清單。
Apple 或 Google 看得到我的通行密鑰嗎？
Apple 表示 iCloud 鑰匙圈採端對端加密，也就是只有你的裝置能解開，Apple 無法讀取內容。
Google 的管理頁面也只會列出已建立的項目和裝置，不會顯示鑰匙本身。