先确认是本人
开启身份验证器和添加 Passkey 之前，都要先确认操作的是账号本人。光是已经登录不够：否则拿到会话的人可以给账号加上自己的第二因素，再把本人锁在外面。添加 Passkey
1
打开设置
在 账号设置 → 安全与登录 的 Passkey 一行点击 添加 Passkey，按上面的方式确认是本人。
2
创建
可以起个名字，例如「我的 MacBook」，然后点击 创建，按浏览器或系统的提示操作。
3
保存恢复码
这是账号的第一个第二因素时，多因素认证随之开启，并显示 10 个恢复码，只显示这一次。点击 复制 或 下载 保存，再点击 我已保存。
电脑上没有可用的 Passkey 时，浏览器还可以显示二维码，用手机上的 Passkey 扫码确认。
列表里没起名字的 Passkey 显示它的存放位置；浏览器没有报告存放位置时只显示 Passkey。
实例的要求
Passkey 绑定实例的域名，所以有下面这些要求，不满足时 添加 Passkey 置灰并说明原因，登录页也不显示 Passkey 入口。external_url 的主机名改变后，原来的 Passkey 不再可用：要用密码或恢复码登录，再重新添加。
开启身份验证器
1
打开设置
在 账号设置 → 安全与登录 的 身份验证器 App 一行点击 开启，按上面的方式确认是本人。
2
添加到身份验证器 App
用身份验证器 App 扫描二维码，或手动输入二维码下方的密钥。App 里显示的名称是 MoleSignal；配置了
[http].external_url 时名称里带着它的主机名，方便分清几套实例。3
输入第一个验证码
输入 App 显示的 6 位验证码，点击 开启。验证码对上才会开启。
4
保存恢复码
这是账号的第一个第二因素时，显示 10 个恢复码，只显示这一次。点击 复制 或 下载 保存，再点击 我已保存。
登录
用 Passkey 免密码登录
在登录页点击 使用 Passkey 继续；或者点击 用邮箱登录，再点击邮箱输入框，从浏览器的建议里选择 Passkey。Passkey 本身要求指纹、面容或设备密码，所以算过了多因素认证，不再要第二步。输错密码太多次
密码输错太多次时，登录页提示要等多久。这时可以用 Passkey 登录，也可以重置密码：Passkey 不计入输错次数，也不受限，账号被别人试密码时本人仍能进来；重置密码成功后立即解开账号。次数和时长见登录限速。密码之后的第二步
输入密码后，登录页要求 验证身份，按账号有的第二因素选择：哪些登录要第二步
管理恢复码
丢了身份验证器和 Passkey 时，每个恢复码可以代替它们登录一次。安全与登录 的 恢复码 一行显示还剩几个。点击 重新生成 并确认，得到新的 10 个恢复码，原来的全部作废。更改第二因素
下面的操作都要当场用 Passkey、验证码或一个恢复码确认，改名除外。
删掉账号最后一种第二因素时，多因素认证随之关闭，恢复码作废，账号邮箱收到通知。账号所在的工作区要求多因素认证时不能这样做：关闭 和 删除 置灰，说明是哪个工作区要求的。
管理员重置
成员丢了所有第二因素、恢复码也用完时，管理员在 身份与访问 → 用户 打开成员的操作菜单，点击 重置多因素认证。这需要org.members.mfa_reset。重置后成员的身份验证器、Passkey 和恢复码全部失效，所有设备退出登录，账号邮箱收到通知；成员之后用密码登录，再重新设置；工作区要求多因素认证时，成员在登录时现场开启。
用户 列表的 多因素认证 一列显示每个成员是否已开启。
离线重置
Root 用户丢了所有第二因素，或所有管理员都无法登录时，在服务器上运行：登录作废
下列操作会结束账号在其他浏览器和电脑上的登录，在那边的下一个请求时生效：- 第一次加上第二因素，多因素认证随之开启；
- 更换或关闭身份验证器，删除 Passkey；
- 管理员重置多因素认证；
- 活跃会话 中的 退出其他所有设备；
- 通过邮件链接重置密码，这会结束账号的所有登录。