如何把 2FA 转移到新手机，以及旧手机丢了怎么办

1. 查一查哪些应用里有你的验证码。很多人一部分放在 Google Authenticator，一部分放在 Microsoft Authenticator 或 Authy，每个应用要分别转移。

2. 用各应用自己的方法转移，见下文。转移不了的账户，可以趁你还能登录时重新设置：关闭再重新开启它的身份验证器应用 2FA，或者找「更换身份验证器应用」之类的选项。我们的设置教程介绍了 108 个服务中这个设置的位置——包括 Google、Microsoft 和 GitHub。

3. 在新手机上，用新的验证码登录你最重要的账户——先登录邮箱，因为其他所有账户都要靠它来恢复。

4. 为重要的账户保存新的恢复代码，放在手机以外的地方。

5. 做完这些再清除旧手机。把它在抽屉里放一周不花任何成本，万一漏了哪个账户就能救急。

Google Authenticator。 在旧手机上打开 菜单 → Transfer codes（转移验证码）→ Export codes（导出验证码），选择账户，屏幕上会出现一个二维码；在新手机上打开 菜单 → Transfer codes → Import codes（导入验证码）并扫描它。如果开启了 Google 账号同步，在新手机上登录同一个 Google 账号，验证码就会自动同步过来，有没有旧手机都一样。没有同步的话，导出二维码就需要旧手机在你手里。

Microsoft Authenticator。 在旧手机上开启云备份——Android 上使用个人 Microsoft 账户，iPhone 上使用 iCloud——然后在新手机上从备份恢复。备份只能恢复到同类手机：iPhone 到 iPhone，Android 到 Android。Amazon、Facebook 等其他服务的验证码会原样恢复；工作或学校账户只会恢复账户名称，你需要逐个重新登录。如果无法重新登录，你们组织的 IT 服务台可以清除你的设置，让你在下次登录时注册新手机。

Authy。 Authy 账户与手机号绑定。在新手机上安装 Authy，输入手机号，然后用旧设备批准新设备，或者通过短信或电话验证。你的令牌会从旧设备同步过来；如果开启了 Authy 的加密备份，也可以从备份恢复——这需要你的备份密码，Twilio 从不接收这个密码，也无法找回。Authy 无法导出到其他应用，所以离开 Authy 意味着逐个重新设置每个账户。

2FAS Auth。 开启 2FAS Backup 后，它的同步——Android 上是 Google Drive，iPhone 上是 iCloud——可以在登录同一账户的同类新手机上恢复你的令牌。在 Android 和 iPhone 之间，则要在旧手机上导出受密码保护的备份文件，再在新手机上导入。如果你设置了备份密码，2FAS 无法帮你找回。

身份验证器 2FA（我们的）。 它不在你的手机上，所以换手机对它毫无影响。这让它在迁移期间很有用：只要验证码在 Chrome 里，你就可以在电脑上登录每个服务，不用旧手机就能在新手机上设置 2FA。它无法替你把验证码放进手机应用，不过它导出的 otpauth:// 链接是几乎任何其他身份验证器都能读取的格式（备份）。要把它迁移到另一台电脑，请使用 Chrome 同步或导出文件——见多台设备和恢复。

先说实话。 2FA 验证码由保存在应用中的密钥计算得出。如果这个密钥只存在于丢失的手机上，它就没了，谁也无法再生成——应用开发商不行，维修店不行，我们也不行：身份验证器 2FA 从不接收任何人的密钥。能让你重新登录的，是你要登录的那个服务。请按顺序逐一尝试。

1. 看看有没有副本保留下来。 Google Authenticator 开启了 Google 账号同步：在新手机上安装并登录。Microsoft Authenticator 开启了云备份：在同类手机上恢复。Authy 开启了备份：安装后输入手机号，通过短信或电话验证，再输入备份密码。2FAS 开启了同步：用同一个 Google 或 iCloud 账户开启 2FAS Backup。如果你还把账户添加到了 身份验证器 2FA，验证码仍然在你电脑上的 Chrome 中。

2. 使用服务的恢复代码。 大多数服务在你开启 2FA 时会提供一组一次性代码。Google 提供十个备用码，每个只能用一次；GitHub 称之为恢复代码（recovery codes）。在网站要求输入 2FA 验证码的地方输入其中一个。

3. 尝试其他登录方式。 安全密钥或通行密钥、发送到你仍在使用的号码的短信，或者在另一台仍处于登录状态的设备上弹出的提示。例如 GitHub 就接受用通行密钥或安全密钥代替丢失的应用。

4. 向服务申请账户恢复。 这个过程故意设计得很慢。Google 会询问有关账户的问题，在你平时常用的设备和地点操作成功率最高。Coinbase 会要求提供身份证件照片，最多需要 24 小时（Coinbase 2FA 教程）。Microsoft 工作或学校账户需要通过你们组织的 IT 服务台。有些服务完全无能为力：GitHub 表示，一旦 2FA 凭据和恢复方式都丢失，其支持团队无法恢复开启了 2FA 的账户的访问权限。

5. 把丢失的手机拒之门外。 Google 建议远程清除丢失的手机，如果验证码同步过，还要从你的 Google 账号中移除该设备；如果没有同步，Google 建议你逐个访问各网站，重新设置验证码。在 Authy 中，从设备列表里移除旧设备。重新进入某个账户后，重新设置它的 2FA 并保存新的恢复代码。

为每个验证码保留第二份副本。 最简单的办法是用两个应用扫描同一个二维码：网站显示设置二维码时，用手机应用扫一次，再用 身份验证器 2FA 扫一次——两者就会显示同样的验证码（多台设备）。已经在 Google Authenticator 里的账户，通过它的导出二维码一次性导入即可。

把恢复代码放在手机以外。 打印出来，或保存在密码管理器中。存在手机相册里的截图会随手机一起丢失。

开启应用的备份，并把备份密码保存在别处。 Authy 和 2FAS 的备份密码，厂商都无法找回。

不时导出一份备份文件。 在 身份验证器 2FA 中：「设置」→「导出」，用密码保护（备份）；在另一台电脑上用「导入」读回（恢复）。扩展每天的自动副本保存在扩展内部——它们能防止误删账户，但防不了电脑丢失。

添加第二种登录方式——只要服务提供，例如安全密钥或通行密钥。