免密登录安全吗？四种免密方式的风险差得很远

「免密登录」是一个把四种完全不同的东西塞进同一个词的说法：勾一下「记住我」也算免密，刷脸进系统也算免密，用通行密钥点一下确认也算免密。它们的安全性差得很远，差到可以相差一个数量级。

所以「免密登录安全吗」没有统一答案，只有一个判断方法：看这个「免掉的密码」被什么替代了，替代物能不能被复制、丢了怎么恢复。下面把四种常见免密拆开对照，给出可操作的取舍标准，最后给一份开完就能逐条核对的清单。

一、四种「免密」，风险完全不同

先对号入座。你看到的那个「不用输密码」的入口，属于哪一类，决定了它到底更安全还是更危险。

第二列是判断核心：能被复制的东西，就能被远程偷走。Cookie 和短信都属于这一类；生物识别与通行密钥属于另一类，它们算的是「签名」，不是「把秘密传出去」。

二、最该警惕的是第一类：自动登录凭证

很多人说的「免密登录」其实是浏览器里那个「记住我」。它的原理是服务器发给你一张长期有效的票据，之后凭票进站。问题在于票据本身就是凭证，谁拿到都能用，服务器分不清是不是你。

三个真实的高频场景：

• 共用电脑。你登出时只关了网页，票据还在浏览器里，下一个人打开同站点直接进。
• 恶意扩展。有权限读 Cookie 的插件可以把票据打包上传，攻击者在自己机器上复原。
• 公共 WiFi 下的降级页面。假登录页骗走的不只是密码，还有刚种下的那张票。

所以这一类「免密」只适合一种情况：设备只有你一个人用，且系统本身有锁屏密码。共用设备上一律不勾，用完顺手清一次浏览器数据。

三、通行密钥为什么更硬：它算签名，不传秘密

通行密钥的原理是登录时用设备里的私钥对一段挑战做签名，网站用公钥验证。整个过程没有任何可以复用的秘密被传到网上，所以抓包抓不到、钓鱼页面拿不到。

更关键的一点是它会绑定网站域名：在假域名上，浏览器根本不会拿出对应凭证。这解决的是密码体系里最难防的那一环——钓鱼。原理细节可参考Passkey 通行密钥怎么用。

它的代价是「设备依赖」：设备丢了，凭证也就跟着走。所以用通行密钥之前，必须先确认恢复路径——多数平台提供备用码或第二台设备，两者至少要有一个。

四、按场景选，别一刀切

把「要不要开免密」换成「这个账号允不允许免密」，判断会简单很多：

1. 主邮箱、网银、支付类：用通行密钥或验证器，且必须准备备用码；不要用「记住我」代替登录验证。
2. 日常社交、购物：通行密钥体验最好；没有就保留密码 + 验证器，勾「记住我」只在自己手机上。
3. 公司账号：跟公司策略走，别自己开个人通行密钥绕过多因素认证，否则离职交接会出问题。
4. 网吧、共用电脑、借用设备：一律不勾自动登录，用无痕窗口，走时清数据。

第 1 条里的「备用码」不是可选项。通行密钥最典型的翻车方式，就是换了手机、旧机已卖掉，才发现所有账号都进不去。

五、真正的漏洞常在「恢复通道」

登录做得再硬，只要「忘记密码」这条路还认短信或弱邮箱，攻击者就会绕过去。恢复通道的强度，决定了账号的实际强度。

检查这四项，比研究登录方式更有效：

• 恢复邮箱是否独立：不要用同一个邮箱给自己当备用。
• 恢复手机号是否还在用：停机超过三个月的号码可能已被重新放号。
• 是否开着「信任此设备」：30 天免验证在共用设备上等于没有第二因素，取舍见双重验证能不能设常用设备免验证。
• 登录设备列表是否干净：不认识的会话直接下线，别只是改密码。

六、验收清单与小结

开完任何一种免密方式，逐条过一遍：

1. 换一台设备登录，确认它不会直接进去。
2. 关闭浏览器后重开，确认没有残留的自动登录。
3. 确认备用码或第二台设备可用，并已存到设备之外。
4. 检查恢复邮箱与手机号是否仍然有效。
5. 在设备管理里把旧设备全部移除。

免密登录不是「更省事」的同义词，它是把验证从「记住一串字符」换成「证明你持有某台设备或某个生物特征」。换得对不对，只看两件事：这个凭证能不能被复制走，以及你丢了它还能不能回来。第一件做不到、第二件有备份，才是值得开的免密。

常见问题

开了免密，还需要设登录密码吗？

需要。密码仍是恢复和降级时的兜底，只是日常不再用它登录。设一个长的、存在密码管理器里即可，不必天天输入。

手机丢了，通行密钥还能用吗？

能，前提是你开了云同步钥匙串或提前绑了第二台设备；否则只能走平台申诉或备用码。这正是要把备用码存在设备之外的原因。

指纹和人脸会被照片骗过吗？

主流设备的生物识别都带活体检测，普通照片和视频骗不过；但把手机举到你面前让你自己解锁，这种「人肉绕过」是防不住的。

公司电脑上能用自己的通行密钥吗？

先问 IT。企业账号通常要求统一身份管理，私自绑定个人凭证会导致离职或换机时无法交接，也可能违反内部规定。