amzpasskey

云托 Passkey 之后，还能不能加硬件密钥？该怎么操作

约 8 分钟 阅读 109

先把边界说清楚 本文不否定 Passkey，也不否定云同步——Passkey 抗钓鱼的能力强于密码，亚马逊官方、FIDO 联盟、NIST、CISA 口径一致。 本文讲的是 一件具体的操作与它真正改变的东西 ，不涉及任何平台审核的应对话术，也

先把边界说清楚 本文不否定 Passkey，也不否定云同步——Passkey 抗钓鱼的能力强于密码，亚马逊官方、FIDO 联盟、NIST、CISA 口径一致。 本文讲的是 一件具体的操作与它真正改变的东西 ，不涉及任何平台审核的应对话术，也不推测平台会采用哪些信号。

一、先给答案：能加，而且官方和标准组织都建议加

亚马逊官方在卖家论坛的答复里说得很直接： 你可以在多台设备上同时拥有各自的 Passkey，每一把都独立工作，互不冲突。 每台设备创建的凭证安全地存在那台设备上（或经 iCloud 钥匙串、Google 密码管理器这类提供方同步）；你输入的 PIN 只是解锁本机， 不是凭证的一部分 ，亚马逊看不到也不存储你的 PIN，它只校验设备给出的密码学签名。

而 FIDO 联盟在《Multiple Authenticators for Reducing Account-Recovery Needs》白皮书里，把"为什么要加"说得更透：

"降低账号恢复摩擦最主要的办法，就是鼓励用户在账号上注册多个认证器。"

同一份白皮书还点名了硬件密钥的用途：

"漫游认证器（roaming authenticator），比如 USB 密钥，特别适合做这件事。用户可以把一枚 FIDO 安全密钥在所有账号上都注册一遍，然后锁在家里的抽屉或者另一个安全的地方。"

反过来，如果你手上 没有任何备用认证器 ，白皮书给出的后果也很清楚：依赖方只能回退到 同等或更高保证级别的身份核验流程 ——也就是那套更慢、更折腾、还要提交材料的人工恢复。

所以答案是明确的：能加，值得加，而且这是标准组织写进白皮书里的推荐做法。

二、但先分清：两件被混为一谈的事

这一步很多人跳过，结果操作了一圈发现加错了地方。亚马逊体系里有两条 入口不同、机制也不同 的路：

通行密钥

两步验证的安全密钥

技术基础

FIDO2 / WebAuthn

动态口令协议（TOTP-OATH）官方入口

登录与安全 → 通行密钥

登录设置 → 两步验证

登录时的作用本身就是登录凭证

，完成本机验证即登录

密码之后的一道附加校验

，生成一次性验证码

官方说明

私钥留在认证器里，亚马逊不收集也不存储

官方帮助页注明：这类设备与验证程序 接触不到你的 Seller Central 密码与账号信息

这里最容易出错： 亚马逊官方帮助页里提到的"USB 安全密钥"，属于 两步验证那一路的载体 ，它要求设备支持动态口令协议；而你现在要加的，是 通行密钥 这一路的第二份凭证。 别在错误的入口里找按钮。

三、加了之后，真正变的是什么？——不是强度，是失效点

这是全篇最重要的一节。

加一枚硬件密钥，并不会让"签名"这件事变得更难伪造——密码学本来就没毛病。 真正改变的是：这条凭证会在什么情况下失效。

云同步凭证

硬件密钥（设备绑定）

凭证形态

经提供方在设备间流转

锁在一枚物理介质里

**唯一失效点你的平台账号那枚物理介质**设备丢了

通常可在新设备重新同步回来

丢了就是丢了

能否导出

同步本身要求可搬运形态

不可导出

（NIST AAL3 的要求即"私钥永不导出"）

云同步凭证的所有鸡蛋，放在"平台账号"这一个篮子里 ——亚马逊官方帮助页那句话说得最清楚：

"Anyone who doesn't have access to your passkey provider won't be able to sign in or create a passkey on your account." （拿不到你的 Passkey 提供方访问权限的人，将无法登录你的账号，也无法在其上创建 Passkey。）

而硬件密钥的失效点是那枚介质本身，且 私钥不可导出 ——两条链不同源。

这才是备份真正的意义：不是更安全，是不再押在同一条链上。

四、操作：三步，顺序不能反

用已经能登录的那台设备进入设置 不要从一台没绑过凭证的设备开始。进入 登录与安全 → 通行密钥 。

添加新的通行密钥，完成本机验证 选择添加新的通行密钥，按提示用本机解锁方式（PIN / 指纹 / 人脸）完成验证。 亚马逊官方口径是整个过程不到两分钟。

立刻退出去，用新凭证完整走一遍 这一条最容易被省略，也最致命。 别等到旧设备真丢了，才知道这条新凭证到底通不通。

顺序不能反： 先加新的 → 验通了 → 再考虑处理旧的。旧凭证不用急着删。

五、三个必须先说的坑

注册新凭证，要在同一个已登录的会话里做 FIDO 白皮书在描述"注册额外认证器"的流程时明确要求：依赖方应当 复用已经建立的那次会话 来完成注册。这不是形式要求——它是"新凭证继承已有信任"的前提。

不要在公用或不受管的设备上注册 凭证留在那台机器上。 人走的时候，你得能把它收回来 ——共享工位、公用电脑、临时借用的机器都不合适。这也是主流厂商给出的通用建议。

最常见的失败原因只有三个 按平台与厂商的兼容文档： 没开系统级解锁 （PIN / 生物识别未设置）； 安全芯片被禁用 （TPM 缺失或被策略关闭，会退化为软件保护）； 企业策略把通行密钥关掉了 ——这一类最难查，因为它看起来像"这个网站不支持"，实际上是有人把开关拨到了禁用。

六、回过头说：这个问题其实问偏了

聊完操作，我们必须回到问题本身。

"加了硬件密钥，是不是就稳了？"——这道题一开始就问偏了。 它把两件不相干的事连在了一起：

加硬件密钥 能 解决的

加硬件密钥 不能 解决的

设备坏了 / 丢了，还能不能进来

让平台对你更放心

凭证不再只有一份

改变账号本身的身份结构

不再只有"平台账号"这一个单点

替代任何需要获批才能做的事

右边这一列，亚马逊从来没有公开过任何相关口径。 凡是告诉你"加了某个东西平台就更信任你"的说法，都不属于官方信息。

官方写明的底线一直在别处：

  • 亚马逊官方条款写明： "Operating and maintaining multiple Seller Central accounts is prohibited." （运营和维护多个卖家账户是被禁止的。）多账号的 默认状态是禁止，合规是例外 ，中间隔着一张批准函。
  • 多账号获批的四个条件里， 没有一条提到浏览器、服务器或操作系统 ——规则关心的是经营事实：独立银行账户、独立邮箱、售卖的商品与服务必须不同、绩效指标良好。
  • 二级用户必须使用 从未在任何亚马逊账号上使用过的全新邮箱 。

判断标准： 把本文里所有"硬件密钥"四个字删掉，剩下的内容依然成立——因为决定账号能否长期存在的，从来不是你手里握着什么设备，而是 你的经营结构是否真实、是否经过批准 。

七、结论：三条

  • 至少两份不同载体的凭证。 云同步一份，硬件密钥一份，两者失效点不同源，这才是冗余。
  • 加完当场验一次。 退出去用新凭证完整走一遍登录，别把验证留到出事那天。
  • 旧的不用急着删。 确认新的稳定可用之后再处理。

最后一句： 把"恢复"这件事握在自己手上，比把希望押在任何一条链上，都更稳。

数据来源

  • Amazon Seller Central 官方帮助页《Passkey verification》（2026）——官方帮助文档：Passkey 与账号绑定并经提供方同步；无提供方访问权者无法登录或创建 Passkey。
  • Amazon Seller Central 卖家论坛官方答复（欧洲站，现行）——多台设备可同时拥有各自 Passkey、彼此独立；PIN 仅用于解锁本机、非凭证组成部分；亚马逊不存储 PIN，只校验签名。
  • Amazon Seller Central 官方帮助页《Use a USB security key for Two-Step Verification》（现行）——两步验证一路的 USB 安全密钥 要求支持 TOTP-OATH ；官方举例为常见 USB 密钥；该类设备与验证程序接触不到卖家账号密码与信息。
  • FIDO Alliance《Multiple Authenticators for Reducing Account-Recovery Needs for FIDO-Enabled Consumer Accounts》（2020-06）——注册多个认证器是降低账号恢复摩擦的 主要机制 ；漫游认证器（USB 密钥）特别适合作为异地备份；无备用认证器时须回退到同等或更高保证级别的身份核验。
  • FIDO Alliance《FIDO for e-Government Services》白皮书（2022-12）——同一主张的复述；并提及主流厂商要求为同一服务注册两把安全密钥的做法。
  • FIDO Alliance《High Assurance Enterprise FIDO Authentication》白皮书（现行）——AAL3 最显著要求为 硬件认证器 ；可同步凭证未必满足高保证场景；BE / BS 标志位在无认证证明时不可单独采信。
  • NIST SP 800-63B-4《Syncable Authenticators》（现行）——AAL3 要求 私钥不可导出 ；可同步认证器上限 AAL2、明确不得用于 AAL3。
  • Amazon 卖家账户条款与多账号审批条件（Seller Central 官方说明，现行）——"Operating and maintaining multiple Seller Central accounts is prohibited"；获批四条件为独立银行账户 / 独立邮箱 / 商品与服务不同 / 绩效良好；二级用户须使用从未在任何亚马逊账号用过的全新邮箱。
  • Amazon 官方 Passkey 设置口径与平台厂商兼容文档（2026）——设置路径为登录与安全 → 通行密钥；官方口径 不到两分钟 ；常见失败三因为未开系统级解锁 / 安全芯片被禁用 / 企业策略禁用。

引用说明：本文仅采用能在官方文件、官方论坛答复或标准组织白皮书中找到出处的表述。凡涉及"加了某物平台就更信任"的说法，均无官方出处，本文不予采信，也未引用任何未标注主体的行业百分比数据。