硬件密钥支持哪些网站：三类清单与买前核对法
买硬件密钥的人，最后悔的不是买贵了，而是买回来发现常用的那几个网站根本不支持：插上去没反应，安全设置里找不到「安全密钥」这一项，最后只能当摆设。
「支持哪些网站」这个问题，不能靠一张厂商宣传表回答。同一个词在不同网站上指三件不同的事，先分清这点，再按类别核对，才不会白花钱。
一、先分清三种「支持」，它们不是一回事
看到「支持安全密钥」时，先问一句：它支持的是哪一种？这一点决定了你的密钥能不能用、需不需要输 PIN。
| 类型 | 登录时怎么做 | 密钥里存东西吗 | 典型场景 |
|---|---|---|---|
| 老式 U2F（第二因素） | 先输密码，再碰一下密钥 | 不存，只存一对密钥的私钥 | 早期 Google、GitHub 的两步验证 |
| WebAuthn 安全密钥（FIDO2） | 可免密登录，也可当第二因素；常要求输 PIN 或按指纹 | 可将「常驻凭证」存在密钥里 | Google、微软账号、密码管理器 |
| 同步通行密钥（Passkey） | 用手机或电脑的系统钥匙串验证，不插硬件 | 存在系统账号云端，密钥本身不参与 | 多数新上线「通行密钥」的站点 |
最容易踩的坑是第三种：网站宣传页写着「支持通行密钥」，你拿着硬件密钥去注册，结果它只认 iPhone 或 Windows Hello。通行密钥和硬件密钥是不同的实现，前者默认跟着账号云同步，后者物理隔离。想用硬件，得在设置里找到「安全密钥」这个具体选项。
二、按类别看：哪些站现在真能插钥匙
下面按「支持成熟度」分四档，判断依据是登录设置里是否提供独立的「安全密钥／硬件令牌」入口，而不是有没有通行密钥宣传。
| 档位 | 类别与代表 | 实际可用度 |
|---|---|---|
| 成熟 | Google 账号、Microsoft 账号、GitHub、Cloudflare、X、Dropbox、主流密码管理器（Bitwarden、1Password 等） | 安全设置里直接有「安全密钥」，可加多把，支持免密 |
| 可用但不显眼 | 部分邮箱与云服务、部分海外银行、部分 SaaS 后台 | 入口常藏在「两步验证 → 添加其他方式」二级页面 |
| 仅企业版 | 企业 SSO、办公套件、云平台控制台 | 个人版没有，企业版由管理员开启，员工侧只看到「使用安全密钥」 |
| 基本没有 | 国内个人社交、支付、多数国内网银与政务 App | 以短信、设备锁、App 内确认为主，暂无公开的硬件密钥入口 |
结论很直白：硬件密钥目前主要服务「海外账号 + 工作账号 + 密码库」这三块。如果你的日常账号以国内平台为主，它能派上用场的地方比想象中少——但用来保护邮箱和密码库本身，仍然是性价比最高的一步。
三、四步核对法：判断一个站到底支不支持
- 搜设置，不搜帮助中心。 进账号的「安全」或「登录与安全」页面，直接在页面内搜「密钥」「security key」「通行密钥」。帮助中心的文章常常滞后于功能下线。
- 看它要不要你先输密码。 要求「先密码、后触碰」的是第二因素模式；能直接点「用安全密钥登录」的才是免密模式。两种都能用，但体验差别很大。
- 看是否强制 PIN。 免密模式通常要求给密钥设 PIN。如果你买的是没有 PIN 键的入门款，这一步会卡住。
- 注册后立刻加第二把。 只有一把密钥的账号，丢了等于把自己锁在门外。能加第二把，说明这个站的支持是完整实现。
这四步做完通常不超过五分钟，比翻十篇「最佳硬件密钥」榜单准确。顺带说一句，加完密钥之后的操作流程，可以参考硬件密钥怎么设置，里面写了绑定顺序和备用方案。
四、落定前：替代路径与购买核对
并非所有站点都值得等它支持硬件密钥。按下面的顺序退让，安全性下降得最少：
- 先开平台自带的通行密钥。 手机或电脑的系统钥匙串至少有生物识别保护，比短信强得多，且不用额外买东西。
- 再退回 TOTP 验证器。 独立验证器 App 或密码管理器内置的 TOTP 都不错，注意备份种子，别只存在一台手机上。
- 最后才用短信。 短信能挡掉大部分批量撞库，但挡不住补卡与拦截。用它兜底可以，别把它当主防线。
反直觉的结论：用短信但密码唯一的账号，往往比用硬件密钥却到处复用密码的账号更安全。硬件密钥只解决「验证环节」。
买之前要核对的四件事
确认有网站支持，再看设备本身。这四项决定它能不能长期用下去。
- 接口与数量：笔记本只有 USB-C 就别买纯 USB-A 款；打算同时插两台设备，就买带 NFC 或双接口的。
- 常驻凭证上限：免密登录要把凭证存在密钥里，容量是有限的（多在几十条量级）。打算给十几个站开免密，先看清规格。
- 是否要买两把：主钥匙放钥匙串，备用钥匙放家里。两把可以选同型号，也可以选一贵一便宜。
- 固件能否更新：能更新的型号可以修协议层问题，不能更新的只能用规则规避。厂商是否还维护，比参数更重要。
常见问题
硬件密钥能同时给多个网站用吗？
能，而且这正是它比短信方便的地方。一个密钥可以注册到很多站点，每个站点存的是独立的一对密钥，互不影响。唯一要留意的是常驻凭证数量，开免密的站点越多，占用越多。
网站只支持通行密钥，硬件密钥就完全没用了吗？
对那个站来说是的。但如果它支持 WebAuthn 安全密钥，硬件就能用；只写「通行密钥」的，通常只认系统钥匙串。判断方法还是前面那四步，进设置页看有没有独立的「安全密钥」选项。
国内账号有必要买硬件密钥吗？
如果你的核心资产是微信、支付宝和国内网银，收益有限，优先做设备锁、独立支付密码和登录提醒更实际。但如果你有 Google、GitHub、海外云服务或需要保护密码库，硬件密钥值得买，一把就够起步。
一把密钥丢了，账号还能进吗？
取决于你有没有提前加第二把，或者有没有保存恢复码。两者都没有，就只能走平台的账号申诉，部分平台会要求等待数天。所以注册完第一件事永远是加备用密钥，具体流程见硬件密钥丢了怎么登录。
小结
「支持哪些网站」的答案不在榜单里，而在你自己的账号列表里：先把每天要登录的十个站写下来，进设置页搜「密钥」，能开免密的标一类，只能当第二因素的标一类，都没有的走通行密钥或 TOTP。
硬件密钥是加分项，不是必需品。它的价值在于把「验证」这一步从网络和手机号上剥离出来；但如果密码本身在复用，先解决密码，再谈钥匙。