忘记 YubiKey PIN 怎么办？FIDO2 重置步骤及会丢失的内容

忘记 YubiKey 的 FIDO2 PIN 后无法找回原密码。想继续使用这枚密钥，唯一的办法是在 Yubico Authenticator 中重置 FIDO2，这会删除该密钥上的 PIN、所有 Passkey 和指纹。网络账户本身不受影响，但需要先用备用密钥或恢复码登录，再重新注册这枚密钥。

全新的 YubiKey 出厂时没有 FIDO2 PIN，需要在注册第一个账户时自行设置。网上常见的 123456 是 PIV 功能的默认 PIN，并不是 Passkey 使用的 PIN。

YubiKey 的 FIDO2 PIN 是什么

FIDO2 PIN 属于实体 YubiKey，用来确认持有密钥的人有权使用它。它不是 Google、Microsoft、GitHub 或其他网站的账户密码。

如果同一枚 YubiKey 保存了多个账户的 Passkey 或 FIDO2 凭据，这些凭据都会使用这枚密钥自己的 PIN。把同一枚密钥注册到新服务时，不会为每个网站另外建立一组 PIN，但创建或使用凭据时，系统可能要求输入原来的 PIN。

网站不会收到或保存 YubiKey 的 PIN。PIN 从客户端软件传送到安全密钥的过程受到保护，网站得到的是认证结果，而不是 PIN 本身。

触摸与输入 PIN 的作用不同

触摸普通 YubiKey 的金属接触点，是为了确认有人在设备前主动使用密钥；输入 PIN 则用于验证使用者身份。除非使用的是带有指纹传感器的 YubiKey Bio，否则触摸并不等于指纹识别。

YubiKey 有默认 PIN 吗

这取决于指的是密钥的哪个功能。

• FIDO2（用于 Passkey 以及登录 Google、Microsoft、Facebook）：没有默认 PIN。新密钥没有 PIN，注册第一个账户时系统会要求设置，也可以提前在 Yubico Authenticator 的 Passkeys 页面自行设置。
• PIV（企业系统使用的智能卡功能）：出厂默认 PIN 为 123456，PUK 为 12345678，正式使用前应修改。重置 PIV 后会恢复为这两个默认值。

用 YubiKey 登录网络账户的普通用户只会用到 FIDO2，无需理会 PIV 的 PIN。

输错三次与八次有什么不同

YubiKey 默认通常允许尝试八次 FIDO2 PIN。为了阻止连续猜测，连续输错三次后会出现一个中间限制：必须拔出并重新连接密钥，才能继续输入。

重新连接不会清零重试计数。 如果拔出前只剩五次，插回后仍然不是重新获得八次。输入正确 PIN 后，正常重试次数才会恢复。

累计输错达到上限后，FIDO2 功能会被锁定，已有 FIDO2 凭据也无法继续使用。YubiKey 不会在这一刻自动清空数据；但要重新启用 FIDO2，必须执行重置，而真正删除旧凭据的正是这一步。

FIDO2 PIN 能否使用字母和数字

可以。FIDO2 PIN 不必像银行卡密码那样只用四位或六位数字，也可以包含字母、数字和符号。最低要求取决于固件版本和组织设置的 PIN 复杂度政策，最大长度为 63 字节。

“字节”并不等于“字符”。英文字母通常占一个字节，而泰文和部分其他字符可能占用多个字节。因此，使用非拉丁文字时，可能在达到 63 个可见字符之前就超过限制。应以当前应用和固件显示的要求为准。

如何选择实用而安全的 PIN

• 设置成不需要反复猜测也能记住的内容，同时避开连续数字、生日、电话号码和熟人容易知道的信息。
• 不要与手机解锁码、电脑 PIN、银行卡密码或其他账户密码重复。
• 如果必须写下来，应与 YubiKey 分开存放在他人无法接触的位置，绝不能把 PIN 贴在密钥上。
• 企业应制定清晰的 PIN 创建、发放和恢复流程，不应要求管理员知道员工的个人 PIN。

与手机使用相同 PIN 虽然容易记忆，但如果手机和 YubiKey 同时落入他人手中，对方就掌握了更多可用信息。配合完善的恢复方案，使用独立 PIN 更安全。

忘记 PIN 后该怎么办

如果还知道当前 PIN，可以通过 Yubico Authenticator 或操作系统支持的工具修改 PIN，不必删除 Passkey。若当前 PIN 已完全忘记，则没有通过电子邮件找回或回答安全问题来解锁的方法。

确定无法找回 PIN 后，要让 FIDO2 再次可用，只能重置这个功能。重置不是打开旧数据，而是删除现有认证信息并重新开始设置。用户必须先通过其他方式进入账户，再重新注册 YubiKey。

按下重置前，先回答两个问题：这枚密钥注册过哪些账户？以及每个账户是否都有其他可用的登录方式？ 如果答案不确定，就不应继续。

在 Yubico Authenticator 中重置 FIDO2 的步骤

电脑和 Android

1. 插入 YubiKey，打开 Yubico Authenticator，点击左上角菜单图标，选择 Home。
2. 在 DEVICE 下选择 Factory reset。如果窗口太窄看不到，请先点击右上角菜单图标。
3. 选择 FIDO2，点击 Reset。
4. 拔出 YubiKey 后重新插入，在应用提示时触摸金色触点。Bio 型号请触摸指纹传感器。
5. 状态显示 FIDO application reset 后，点击 Close。
6. 在 Passkeys 页面设置新 PIN，然后重新把密钥注册到每个账户，并在各账户的安全设置中删除旧密钥记录。

iPhone 和 iPad

• iPhone 可以在应用中重置 FIDO2，但固件低于 5.7.4 的密钥只能通过 NFC 重置，不能插线重置。
• iPad 目前无法重置 FIDO2，请改用电脑或 Android 手机。

需要注意的例外

• YubiKey Bio Multi-protocol Edition 无法单独重置 FIDO2，因为它与 PIV 共用同一个 PIN，重置会同时清除两者。
• 确认重置后无法撤销，请先完成下方的检查清单。

Yubico Authenticator 的 Factory reset 会删除什么

Yubico Authenticator 的 Home 页面提供 Factory reset – Restore YubiKey defaults。这个名称容易让人以为所有功能都会一次性清空，但当前版本会在设备支持的情况下，按应用分别提供 FIDO2、OATH 或 PIV 等重置选项。

大多数 YubiKey 在重置某一个应用时，不会删除其他应用的数据。例如，只重置 FIDO2 通常不会移除 OATH-TOTP 账户或 PIV 证书。不过，不同型号可能存在例外。YubiKey Bio Series Multi-protocol Edition 可能在 FIDO2 与 PIV 之间共用 PIN，因此必须仔细阅读确认页面。

重置 FIDO2 会删除的内容

• FIDO2 PIN；
• 保存在 YubiKey 中的 Passkey；
• 其他 FIDO2 凭据，包括未显示在 Passkeys 页面中的凭据；
• 支持的 Bio 型号中录入的指纹；
• 支持且已启用的 Enterprise Attestation 设置。

原有 FIDO U2F 和 FIDO2 注册将无法继续使用。Passkeys 页面没有显示某个账户名称，并不代表重置不会影响它，因为并非所有 FIDO 凭据都会列在该页面。

不会从互联网消失的内容

Google、Microsoft、GitHub 或其他网络账户不会被删除。账户安全设置中甚至可能仍然显示旧 YubiKey，但重置后的密钥已经无法生成原来的加密响应。因此，需要从账户中删除失效注册，再重新添加这枚密钥。

检查项目	重置 FIDO2 后
FIDO2 PIN	被删除，需要重新设置
YubiKey 中的 Passkey	被删除，无法从密钥恢复
旧 FIDO2/U2F 凭据	不能再用于原账户认证
网络账户	仍然存在，但需要其他登录方式
OATH、PIV 和其他应用	只重置 FIDO2 时通常保留，但必须核对型号和确认提示

只删除一条 Passkey 的方法

如果只想停止使用某个账户的 Passkey，不要执行 Factory reset。应打开 Yubico Authenticator 的 Passkeys 页面，选择并删除对应的可发现凭据。

之后还应进入该账户的安全设置，删除旧安全密钥或 Passkey 条目。只从 YubiKey 删除凭据，并不会自动通知网站删除原来的注册记录。

Passkeys 页面不会列出所有类型的 FIDO 凭据。要完整检查，必须同时查看每个重要账户的安全设置，而不能只依赖 Yubico Authenticator 中的名单。

重置 FIDO2 前的检查清单

1. 停止猜测 PIN，避免无谓消耗剩余次数。
2. 列出重要账户，优先检查主邮箱、密码管理器、云端存储、社交媒体、GitHub 和公司系统。
3. 实际测试备用 YubiKey，不要只看它是否出现在设置页面。
4. 检查恢复码，确认仍然可读，并且没有与主密钥放在一起。
5. 确认另一条登录路径，例如其他设备上的 Passkey 或独立管理员账户。
6. 尽量先从账户设置中删除将要重置的密钥，避免留下无法使用的旧记录。
7. 阅读最终确认页面，确认重置的是 FIDO2、OATH 还是 PIV，并查看该型号是否有例外。
8. 重置后尽快重新注册，设置新 PIN，把密钥添加回各账户并测试登录。

如何避免账户被锁在门外

1. 从一开始就注册至少两枚安全密钥

备用 YubiKey 不是把主密钥中的文件复制过去。每一枚实体密钥都必须分别注册到同一个网络账户。主密钥日常使用，备用密钥应存放在安全且不同的位置。

2. 把恢复码与安全密钥分开保存

两枚密钥都无法使用时，恢复码可以提供帮助。应离线保存或放在可信的受保护存储中，不要把未加保护的照片长期留在自动同步云端的相册里。

3. 在账户设置中清楚命名每枚密钥

例如“YubiKey 5C NFC – 日常使用”和“YubiKey 5 NFC – 备用”。密钥丢失或重置后，就能更准确地删除对应注册。

4. 记录每枚密钥注册过哪些服务

这份清单不需要包含密码或恢复秘密，只记录服务名称和密钥名称即可。更换、丢失或重置密钥时会省下大量时间。

5. 定期测试备用登录方式

从未测试过的备用密钥，可能并没有注册到所有账户。应定期用它登录，并确认恢复码和备用管理员账户仍然有效。

根据设备接口选择 YubiKey

YubiKey 5 系列除了 FIDO2 与 Passkey，也支持 OATH、PIV、OpenPGP 和 Yubico OTP。选择时先看主要设备的接口。电脑仍以 USB-A 为主，可选择 YubiKey 5 NFC；现代笔记本、手机和平板以 USB-C 为主，则 YubiKey 5C NFC 更方便。两款都支持兼容设备的 NFC。

YubiKey 5 NFC：USB-A 与 NFC

适合办公室台式机和其他仍使用 USB-A 的电脑，并可通过 NFC 与兼容手机配合。

YubiKey 5C NFC：USB-C 与 NFC

适合采用 USB-C 的新款笔记本、手机和平板，并可通过 NFC 与兼容设备配合。

价格和库存可能变化。订购前请查看商品页面，并确认所使用的服务或企业系统支持所需认证标准。

常见问题

新的 YubiKey 有预设 PIN 吗？

没有。FIDO2 PIN 需要在注册第一个账户时自行设置。123456 是 PIV 功能的默认值，与 Passkey 无关。

可以删除 YubiKey 的 PIN 吗？

应用中只能设置或修改 PIN，没有删除 PIN 的命令。让密钥回到无 PIN 状态的唯一方法是重置 FIDO2，这也会删除密钥中的所有 Passkey。

每枚 YubiKey 都有独立 PIN 吗？

是。每枚实体 YubiKey 都保存自己的 FIDO2 PIN。即使两枚密钥注册到同一个账户，也可以使用不同 PIN。

同一枚 YubiKey 中的不同账户能使用不同 PIN 吗？

不能。FIDO2 PIN 属于安全密钥，而不是网站。保存在同一枚密钥中的 Passkey 和 FIDO2 凭据都使用该密钥的 PIN。

输错三次后数据会被删除吗？

不会。通常只需要拔出并重新连接后才能继续尝试。数据仍然保留，而且在输入正确 PIN 前，剩余次数不会完全恢复。

输错八次后 YubiKey 会自动重置吗？

不会。FIDO2 会被锁定，密钥不会自动删除数据。但要重新启用 FIDO2，必须执行重置，而重置会删除旧 FIDO/U2F 凭据和 PIN。

可以在不删除 Passkey 的情况下修改 PIN 吗？

可以，前提是仍然知道当前 PIN。使用支持的工具修改即可，不必重置 FIDO2。

Factory reset 会删除 Google 或 Microsoft 账户吗？

不会。网络账户仍然存在，但重置后的 YubiKey 无法使用旧凭据。需要通过备用密钥、恢复码或其他方式登录，再重新注册。

重置 FIDO2 会删除 Accounts 页面中的验证码吗？

通常不会。Yubico Authenticator 会按应用分别重置，因此只重置 FIDO2 一般不会清除 OATH 账户。不过必须阅读具体型号的提示，特别是 FIDO2 与 PIV 存在共享要求的型号。

能把 Passkey 从一枚 YubiKey 复制到另一枚吗？

不能。与设备绑定的 Passkey 不能像文件一样复制。正确做法是把备用 YubiKey 作为另一组独立凭据注册到同一个账户。

总结

YubiKey 的安全性部分来自对 PIN 尝试次数的限制，以及不提供普通电子邮件式 PIN 找回。用完允许的 FIDO2 PIN 尝试次数后，FIDO2 会被锁定。密钥不会自动清空，但要重新开始所需的重置会永久删除旧凭据。

FIDO2 PIN 可以包含字母、数字和符号。应选择容易记住但没有在其他地方重复使用的 PIN。如果不确定，先停止猜测，并在继续操作前确认所有备用登录方式。

最有效的准备方式，是至少注册两枚 YubiKey、把恢复码分开保存、记录每枚密钥注册过哪些账户，并定期测试备用密钥。这样即使将来必须重置，也能进入账户并安全地重新注册。

资料核对日期：2026 年 10 月 16 日。菜单、功能和 PIN 要求可能因 YubiKey 型号、固件、操作系统和 Yubico Authenticator 版本而异。删除或重置任何数据前，请仔细阅读确认页面。