谷歌账号全面推通行密钥

最近看到谷歌在网络安全意识月又推了一波通行密钥，鼓励用户用指纹、人脸或设备 PIN 来登录账号。作为一个常年帮团队处理账号安全的人，我觉得这个方向终于开始落地了，不再只是概念宣传。

通行密钥最大的好处是把登录从「你知道什么」变成「你是什么」，而且生物数据只留在本地设备，不会上传给谷歌。这意味着即使某个网站被拖库，攻击者拿到的也只是一段无法复用的公钥，而不是能直接撞库的密码。从实际体验看，谷歌账号设置通行密钥的路径已经很短：访问 g.co/passkeys，点创建，按提示走一遍就行。但真正让我在意的是跨设备同步和账号恢复，如果手机丢了，备用设备能不能顺利接管，这决定了普通用户敢不敢彻底抛弃密码。我的判断是，通行密钥会先在谷歌、苹果、微软这类大平台之间形成事实标准，然后慢慢渗透到中小网站。对出海团队来说，越早把登录流程适配通行密钥，越能在合规和用户信任上占先手，尤其是做欧美市场的产品。当然，短期内密码不会消失，混合登录和降级方案还得留着。但如果你还没给自己的主力账号配一个通行密钥，现在确实是个不错的时机，至少比继续用同一个密码走天下要安全得多。