> ## Documentation Index
> Fetch the complete documentation index at: https://docs.apiyi.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 如何保护账号安全？为什么建议绑定 2FA 和 Passkey？

> 给 API易 账号加一道第二验证：绑定 Passkey（指纹/面容）或 2FA（验证器动态码）。即使密码不慎泄露，没有第二因素也登不进。每位用户都建议绑定，几分钟完成。

## 简短回答

密码之外，再给账号加一道**第二验证**，就是账号安全最值得做的一件事：

* **Passkey（通行密钥）**——用指纹、面容或设备锁屏密码登录，私钥只留在你的设备里；
* **2FA（两步验证）**——登录时除了密码，还要输入验证器 App 里每 30 秒刷新的动态码。

绑定后，**即使密码被泄露，别人没有你的设备或动态码也登不进你的账号**。入口在 **个人中心 → `https://api.apiyi.com/account/profile`**，几分钟就能完成。

<Info>
  **每位用户都值得绑。** 不分大号小号——账号里有余额、有调用记录、有你的 API Key，第二验证是成本最低、收益最高的一道防线。推荐**优先绑 Passkey**，再加一个 **2FA** 作为备用。
</Info>

## 为什么只有密码不够

很多人以为"我的密码够复杂就安全"，但密码最常见的泄露场景，**都发生在你自己这一端，和密码强弱无关**：

* **电脑中了信息窃取木马**：这类恶意软件会把浏览器里保存的登录密码整批偷走，你再强的密码在它眼里也是明文。
* **在别处用了同一套密码**：别的网站被拖库后，攻击者会拿泄露的"用户名+密码"到处试，这叫撞库。
* **钓鱼**：仿冒的登录页骗你把密码输进去。

这几种情况下，密码在到达我们之前就已经被别人拿到了。

<Note>
  需要说明的是：这**不是**我们这边存在泄露。我们的数据库里**只保存密码的哈希值、从不保存明文**，即便数据库被攻击也拿不到你的原始密码。但上面那几种"在用户设备/浏览器一端"发生的泄露，单靠密码本身无论如何都挡不住——**第二验证是唯一能挡住"密码已泄露"这种情况的手段**：攻击者拿到密码，也没有你的 Passkey 设备或动态码。
</Note>

## 两种第二验证，怎么选

<CardGroup cols={2}>
  <Card title="Passkey（优先推荐）" icon="fingerprint">
    指纹 / 面容 / 锁屏密码即可登录，不用记密码。私钥只在设备本地，**天生防钓鱼、防撞库**。日常登录最顺手。
  </Card>

  <Card title="2FA / 两步验证（建议加绑）" icon="shield-check">
    用 Google Authenticator、Microsoft Authenticator 等验证器 App，登录时输入每 30 秒刷新的动态码。换设备、找回时是可靠的备用验证。
  </Card>
</CardGroup>

**建议两个都绑**：Passkey 负责日常快捷登录，2FA 在你换手机或临时在别的设备上登录时兜底。Passkey 的详细说明见 [如何使用 Passkey 登录](/faq/passkey-login)。

## 如何绑定

<Steps>
  <Step title="进入个人中心">
    登录后打开 `https://api.apiyi.com/account/profile`，或从左侧导航点击\*\*「个人中心」\*\*。
  </Step>

  <Step title="绑定 Passkey">
    滑到页面底部的\*\*「账户选项」\*\*，点击 **「绑定 Passkey」**，按提示选择保存位置（iCloud 钥匙串 / Google 密码管理工具 / 本机浏览器），再用指纹、面容或锁屏密码确认即可。完整步骤见 [如何使用 Passkey 登录](/faq/passkey-login)。
  </Step>

  <Step title="绑定 2FA">
    在个人中心页面下方的 **「2FA」** 区域，用验证器 App 扫描二维码，再输入 App 里显示的 6 位动态码确认绑定。

    <Warning>
      **务必保存备用码（恢复码）**。绑定 2FA 时系统会给出一组一次性备用码——换手机、丢设备、验证器被误删时，它是你重新登录的唯一凭据，请抄下来或存进密码管理器，不要只截图留在同一台手机上。
    </Warning>
  </Step>
</Steps>

<Tip>
  绑定是在**已登录状态**下操作的，登录后即可直接绑定。它只是给账号**增加**一种验证方式，不影响你的余额、令牌和调用记录。
</Tip>

## 绑不上 / 换设备怎么办

<AccordionGroup>
  <Accordion title="点了绑定却提示失败 / 绑不上？">
    先**退出账号重新登录**，等待约一分钟后再试即可绑定。若仍不行，换用最新版 Chrome / Edge / Safari，并确认设备已设置锁屏密码或生物识别。
  </Accordion>

  <Accordion title="换了手机 / 验证器被删了怎么办？">
    用绑定时保存的**备用码**登录，进入个人中心重新绑定新的 2FA。没有备用码且无法登录时，请联系客服 `support@apiyi.com` 协助核验身份后解绑。
  </Accordion>

  <Accordion title="Passkey 换设备还能用吗？">
    取决于保存位置：存在 iCloud 钥匙串或 Google 密码管理工具里的会跨设备同步；只存在本机浏览器里的不会同步，需在新设备重新绑定。详见 [如何使用 Passkey 登录](/faq/passkey-login)。
  </Accordion>

  <Accordion title="绑了第二验证，原来的密码还能用吗？">
    能。第二验证是**新增**一层，不替代密码登录。为保险起见，请继续保管好密码、保持注册邮箱可收信，并保存好 2FA 备用码，至少留一种可用的找回方式。
  </Accordion>
</AccordionGroup>

<Note>
  **账号登录安全 ≠ API Key 安全**，两者是两回事。2FA / Passkey 保护的是你**登录网站后台**；程序调用用的 API Key 另有一套安全做法，见 [如何安全地管理 API Key](/faq/key-security-management)。
</Note>

## 相关文档

* [如何使用 Passkey 登录？](/faq/passkey-login)
* [如何安全地管理 API Key？](/faq/key-security-management)
* [忘记密码了怎么办？](/faq/forgot-password)
* [API易 如何保障数据安全？](/faq/data-security)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.