人人都該做的一步，以及他們跳過的原因

開啟兩步驗證，是一個普通人能為帳號安全做的最有效的一件事，而很多人沒做的原因不是懶。他們怕的是第二個因素反過來把自己鎖在門外。一個只活在某支手機裡的驗證碼產生器，會把那支手機變成單點故障：弄丟、摔壞、換掉，於是十幾個帳號就在你最需要它們的那一刻變得無法觸及——因為救援路徑偏偏要穿過那個你打不開的帳號。

Authy 的貢獻，是認真對待這份恐懼。令牌經過加密存放，所以新裝置在通過身分確認之後能整組取回，而不是每個服務各開一張客服單。在當年這是一個真正的新想法，而它至今仍是人們安裝它的理由。第二個因素本來應該讓帳號更難被偷，而不是更難被自己擁有。

它擅長什麼，以及後來變了什麼

日常體驗很直接。掃一下服務顯示的碼，令牌就進了清單；登入時讀出六位數字，趁它過期之前打進去。清單可搜尋、可排序，帳號可以分組，每一筆都可以上一把鎖，要求指紋或PIN 才肯顯示驗證碼——這堵住了那個明顯的洞：任何人拿到一支解鎖的手機，本來就能讀到你的碼。備份密碼與手機號復原，則是為「裝置就是不見了」這種情況準備的。

它周圍的地景縮小了，而這件事該直說。桌面應用程式已停止支援，開發者介面也不再接納新客戶。對已經在用的人來說，手機端繼續正常運作，加密備份與多裝置同步還在，日常流程沒有改變。對今天才在選型的人來說，主流的行動驗證器都是合理選項，而它已經不是唯一擁有備份方案的那一個。

這件事留下一個值得記住的提醒：把帳號安全託付給一個應用之前，先看它的生命力。工具有壽命，習慣得比它活得久。

比 App 本身更重要的一段

無論你選哪一款產生器，各服務給你的復原碼才是真正的安全網，而它正是所有人忽略的那一塊。抄在紙上、離線保存、放在不是裝著驗證器的那台裝置上。抽屜裡一張紙不好看，但它能挺過手機被偷、螢幕摔碎與密碼遺忘，而相簿裡的一張截圖不能。

還有兩條規矩。最重要的那些帳號，至少綁兩條通道，這樣失去一台裝置不等於失去帳號。換手機時，先在新裝置完成遷移並驗證，再清空舊機；那十分鐘的重疊，就是「例行換機」與「一週的復原表單」之間的差別。

什麼情況下它不是正確答案

如果需求是有硬體背書，實體金鑰更強：它沒辦法被讀取畫面的惡意程式複製，而對任何「帳號被盜就等於公司事件」的人來說，那才是該選的。如果需求是完全離線、完全不碰雲端的產生器，也有幾個開源且被稽核過的選擇，代價是備份得自己來。

而如果需求只是「把這些都放在一個地方」，請記得這個類別以前整併過，以後也會。策略裡耐久的不是應用程式，而是那幾個習慣：把復原碼寫下來、留第二條通道、知道備份放在哪裡。應用會換；一個搞懂復原路徑的人，不必在它換掉時從頭開始。