四種憑證的界線：主密碼、TOTP、passkey、生物辨識
這是整篇最該看懂的一章。
因為「密碼管理器到底安不安全」「2FA 能不能取代主密碼」「passkey 換手機還在不在」這類問題，全部卡在同一個地方：把四種不同的東西當成同一種。
一張表分清楚
| 名稱 | 它是什麼 | 能取代主密碼嗎 | 費用 |
|---|---|---|---|
| 主密碼 | 解密 vault 的金鑰（零知識加密）。Bitwarden 沒有備份、無法救援 | 它是根，不可取代 | 免費 |
| TOTP（驗證器 6 位碼） | 每 30 秒換一次的驗證碼，標準演算法 SHA-1 | 不行，只是登入時多一道鎖 | 免費 |
| Passkey | 存在裝置或 vault 的金鑰對，FIDO 設計上不可匯出 | 不取代主密碼，但可取代「網站密碼」 | 免費 |
| 生物辨識（Face ID / Windows Hello） | 本機解鎖已快取的 vault，金鑰在裝置的安全區 | 只省「解鎖」那層 | 免費 |
推論一：2FA 只在登入問一次
很多人以為開了 2FA 之後「每次都要打 6 位碼」。實際不是。
- 登入（
bw login、或在新裝置第一次登入）→ 主密碼 ＋ 6 位碼 - 之後解鎖（
bw unlock、App 解鎖）→ 只問主密碼
所以：加 2FA 不會讓你少打一次字，登入那次還多打 6 位數。 它買到的是安全，不是便利。
推論二：生物辨識只省「解鎖」那層
Face ID 解鎖的不是「Bitwarden 帳號」，是這台裝置上已經快取的那份 vault。
三個你會遇到的邊界：
- 換一台裝置 → 沒有快取，要重新登入
- vault timeout 到期 → 快取清掉，要再打主密碼
- 網頁版、CLI → 沒有生物辨識這種事
所以「我要不要用生物辨識」這題的答案幾乎永遠是「要」，但它不是主密碼的替代品，它只是把「打 20 個字」換成「看一眼」，而且只在你常用的那台裝置上有效。
推論三：passkey 取代的是「網站密碼」，不是主密碼
passkey 會讓你登入某個網站時不用打密碼 —— 但它不會幫你打開 Bitwarden。
而且因為 FIDO 的設計，passkey 不可匯出：換密碼管理器時它不會跟著搬，你要逐站重建，順序是「先建新的 → 確認能登入 → 才刪舊的」。
該怎麼配：分層，而不是全整合
Bitwarden 的 Premium 可以幫你產生 TOTP 碼（第 6 章講費用），於是出現一個很多人問的選擇：要不要把第二因素也放進 Bitwarden？
放進去的好處很具體：登入時帳號、密碼、6 位碼一次填完，體驗幾乎是無痛的。
代價也很具體：
把密碼與第二因素放進同一個保險箱，等於把你的 2FA 降級成 1FA。
因為「攻破一個地方就拿到兩把鑰匙」，而 2FA 存在的全部意義就是「兩把鑰匙不要放在一起」。
實務上的分層建議：
| 帳號類型 | 建議 |
|---|---|
| 論壇、購物、一次性註冊的站 | 整合進 Bitwarden，求方便 |
| Email、銀行、金流 | 留在外部驗證器 |
| Bitwarden 自己 | 一定要在外部驗證器（循環依賴） |
一句話總結
主密碼是根，不能換不能救；
2FA 和生物辨識是鎖，只保護「登入」與「解鎖」那兩個瞬間；
passkey 是網站密碼的下一代，但它換庫不跟著搬家。
搞清楚誰是誰，後面所有決定都不用再問人。