硬件密钥怎么备份？多把密钥加恢复码才不算白买

买了硬件密钥之后，最常见的两个错误是：只买一把；以为它连备份文件一起加密了。前者会在钥匙丢失那天让你彻底进不去账号，后者会让你在真正需要恢复时发现那把钥匙根本帮不上忙。

先把结论说清楚：硬件密钥备份的不是「密钥本身」，而是「重新进入账号的路径」。一条完整的路径至少要有三层——第二把硬件密钥、一次性恢复码、离线加密备份。三层各管一件事，缺一层就有一个场景会把你卡死。

一、三层备份各管什么

一个反直觉的事实：密码管理器导出的加密备份，解密只依赖主密码，硬件密钥不参与离线解密。也就是说，备份文件落到别人手里，对方要攻的仍然只是主密码强度，有没有那把钥匙毫无影响。反过来，只靠钥匙不备份恢复码，钥匙一丢账号就锁死。

二、为什么必须一次买两把

硬件密钥是物理设备，物理设备就会丢、会进水、会被洗衣机洗。密码管理器把全部密码集中在一处，等于把风险也集中在一处，一把钥匙对应一个单点故障。

• 主钥匙：挂在钥匙串或放包里，日常使用。
• 备用钥匙：放在另一个物理位置，比如家里保险箱或父母住处，不与主钥匙同进同出。
• 第三个注册点：如果服务支持，把笔记本的平台验证器（Windows Hello、Touch ID）也注册上，作为临时兜底。

两把钥匙要分别注册，不是买回来放着就会自动生效。很多服务的二步验证页面允许添加多把密钥，逐把插入、触碰、命名，确认列表里能看到两条记录才算完成。

三、注册流程里的四个坑

1. 输入法吃掉字符：部分密钥通过模拟键盘输出一次性口令，中文输入法正在激活时会吞掉部分字符。配置前切到英文输入法。
2. 只测网页端不测扩展端：浏览器扩展对 WebAuthn 的支持依赖浏览器版本，配完一定要在扩展里实际登录一次。
3. 命名太随意：两把钥匙都叫「YubiKey」，丢了根本分不清哪把还在用。建议命名为「主力-随身」「备用-保险箱」。
4. 配完立刻关页面：多数服务会在保存后要求走一遍完整验证，跳过这一步可能在自己还没验证成功时就退出了配置流程。

另外，免费套餐与付费套餐对 FIDO2、内置 TOTP 的支持不同，配置页面里变灰的选项就是当前套餐不覆盖，以你账号页面的实际显示为准，别照着旧教程硬找入口。

四、恢复码：比钥匙更该被认真对待

恢复码是「所有钥匙都失效」时唯一合法的重进通道。它的保存要求只有两条：离线、与钥匙分离。

恢复码通常只能用一次，用掉之后要立刻生成新的并替换旧的那份。建议在日历上设一个半年提醒，检查两份纸质副本是否还在、字迹是否还看得清。

五、离线备份怎么做才真的能恢复

账号侧的路径修好了，还要保证「就算服务商没了，密码还在我手里」。这一步靠导出加密文件，不靠硬件密钥。

1. 在密码管理器里导出加密 JSON，不要用明文 CSV。
2. 把文件放进加密容器（如 VeraCrypt 卷）或至少加密压缩包，密码与主密码不同。
3. 存两份：一块离线 U 盘 + 一个不与主账号绑定的云盘目录。
4. 每季度做一次还原演练：在另一台设备上导入，随机抽 5 条登录验证。

第四步是关键。没有演练过的备份只能算「有个文件」，真出事时打不开等于没有。演练方法可以参考 备份验证方法。如果你的主密码本身也需要备份，见 主密码怎么备份。

六、常见问题

一把钥匙能注册多少个账号？

FIDO2/WebAuthn 的凭据存在密钥内部，主流型号可容纳数十到上百个站点凭据，日常使用远远够用。真正的限制在服务端：有的服务只允许注册有限数量的密钥。

备用钥匙长期不用会不会失效？

不会过期，但建议每半年插上验证一次，确认还能通过验证、固件没被误刷。顺带检查恢复码是否还在原位。

密钥丢了，别人捡到能用吗？

单独捡到密钥通常进不了账号，还需要你的用户名和主密码。但若对方同时拿到主密码，风险立刻放大，所以发现丢失应第一时间在账号里删除该密钥。

没有第二把钥匙，能先用手机顶替吗？

可以临时用支持 WebAuthn 的手机或平台验证器顶上，但它和手机绑定，换机就失效。真正的备份仍然是另一把独立硬件密钥。

小结

硬件密钥备份的正确姿势是「两把钥匙异地存放 + 一次性恢复码离线保存 + 加密导出定期演练」。三件事分别对应丢失、锁死、服务下线三种事故，任何一层缺失都会在关键时刻掉链子。买第二把钥匙的钱，远比账号彻底找不回来的代价低。