宝塔面板免密登录怎么配？PassKey 通行密钥与动态口令两种方式

想给宝塔面板登录加一层保护、又不想每次输密码，面板提供了两种方式：PassKey 通行密钥和动态口令认证。PassKey 让你用电脑 PIN 码或生物识别直接登录（无需账号密码），但有一项容易忽略的前置条件——面板必须绑定域名并使用系统可信的 SSL 证书；动态口令则用堡塔 APP 或 TOTP 验证器扫码绑定，登录时输入一次性动态口令。

下面分别讲清两种方式的配置步骤和前置条件。

PassKey 通行密钥怎么配？

PassKey 是一种无密码身份认证方式，认证信息仅存储在本地设备上。此功能从宝塔面板 11.5.0 版本开始支持。

前置条件一：开启电脑 PIN 码

使用 PassKey 前，必须先在操作系统里设置好 PIN 码。

• Windows：打开「设置 → 账户 → 登录选项 → PIN（Windows Hello）」进行设置。
• macOS：在「系统设置 → Touch ID 与密码」中设置密码或使用 Touch ID。

如果你用的是 Google 账户登录的浏览器，官方文档说明无需单独设置 PIN 码，Google 账户会自动管理 PassKey 凭证。

前置条件二：面板 SSL 证书要求

这是最容易漏掉的一点：PassKey 功能要求面板必须使用系统可信的证书，且必须给面板绑定域名，自签名证书不支持此功能。也就是说，用自签名证书或没绑域名的情况下，PassKey 无法使用。

添加通行密钥

前置条件满足后，进入「设置 → 安全设置 → PassKey」，点击「添加」按钮。

验证 PIN 码并完成添加

点击添加后，系统会提示输入 Windows PIN 码或使用生物识别进行验证。验证成功后，PassKey 即配置完成。

用 PassKey 登录

之后在面板登录页面选择 PassKey 登录方式，系统会弹出身份验证窗口，用 PIN 码或生物识别完成验证后即可自动登录成功。

如果无法添加 PassKey，按官方文档排查三点：检查面板是否使用了可信的 SSL 证书；确认操作系统已设置 PIN 码或启用生物识别；确保浏览器支持 WebAuthn 标准（建议使用最新版 Chrome、Edge 或 Firefox）。

动态口令认证怎么配？

动态口令认证采用动态产生的口令验证身份，基于 Google Authenticator 开发，用堡塔 APP 或支持 TOTP 协议的验证器（如 Google Authenticator、Microsoft Authenticator）扫码绑定。

开启并同意风险

1. 进入面板，点击左侧菜单栏的「设置」，进入面板设置页面。
2. 在设置页面顶部菜单栏中，点击「安全设置」。
3. 在「安全设置」中，点击「动态口令配置」，进入动态口令认证设置页面。
4. 在弹出的设置窗口中，勾选并同意接受风险。

官方文档特别提醒：必须要用到且了解此功能，再决定是否开启；开启后请立即绑定，以免出现面板无法访问的情况。

扫码绑定

在弹出的设置窗口中，使用堡塔 APP 或其他验证器扫码绑定。

堡塔 APP 绑定流程

1. 打开堡塔 APP，点击右上角「···」，选择「扫描二维码」。
2. 扫描面板二维码，若显示「添加成功」则绑定成功。
3. 刷新页面后，即可使用动态口令登录面板。

需要注意两点：服务器的时间需与网络时间一致，否则无法验证；同一 IP 验证成功后 24 小时内无需再次验证。如果忘记验证码或无法登录，可在服务器命令行输入 bt 24 取消动态口令认证。

PassKey 和动态口令分别适合什么场景？

两种方式的差异，官方文档给出的信息如下：

• PassKey：认证信息只存储在本地设备，与面板域名绑定（无法在钓鱼网站上使用），登录时用 PIN 码或生物识别即可，无需记忆密码。适合想在绑定域名、使用可信证书的面板上彻底免密登录的情况。
• 动态口令：基于 TOTP 协议的一次性动态口令，绑定堡塔 APP 或第三方验证器，同一 IP 验证成功后 24 小时内无需再次验证。适合想保留账号密码、额外加一道动态验证码的情况。

选择哪一种，取决于你的面板是否满足 PassKey 的证书与域名前置条件，以及你更想要「无密码」还是「密码 + 动态验证码」的登录方式。

信息来源

本文事实以宝塔官方文档为准：《PassKey 免密码通行密钥登录》、《动态口令认证》。