Cloudflare Access 支持通行密钥：启用、注册与访问策略指南

通行密钥解决的是登录验证，应用权限仍看策略

Cloudflare 于 2026 年 11 月 6 日宣布，Access 支持用通行密钥登录受保护应用和 App Launcher。通行密钥通过 WebAuthn 让设备、安全密钥或密码管理器完成身份验证；验证器须支持可发现凭据，以及指纹、面部或 PIN 等用户验证。并非所有硬件密钥都能直接满足这些条件。

登录成功后，Access 仍会评估应用策略。通行密钥验证不会从另一个身份提供商读取组成员关系或自定义属性，因此不能仅把它加入登录列表，就假定依赖这些属性的原策略仍按相同方式放行。

先添加身份提供商，再检查每个应用

管理员可进入 Zero Trust > Integrations > Identity providers。如果列表已有 Passkeys，先检查设置；否则选择 Add an identity provider > Passkeys，按需要开启 Automatically prompt on the login page，再保存。自动提示用于让回访用户看到浏览器通行密钥提示；文档中的 API 示例值不代表每个账号的默认设置。

随后进入 Access controls > Applications，编辑目标应用并打开 Login methods。如果 Accept all available identity providers 已关闭，就在该应用允许的身份提供商中加入 Passkeys，同时保留用户仍需要的其他登录方式并保存。App Launcher 需要在自己的 Authentication 标签页允许 Passkeys。

在将通行密钥作为替代方式前，逐条检查应用中依赖外部身份提供商组或自定义属性的策略。公告和所读设置文档没有列出统一的套餐、价格、国家清单或逐账号上线时点；应结合组织实际可见设置与服务条款核对，不能从公告推导出免费或全球无条件可用。

用户首次注册时，先完成身份核验

使用兼容的浏览器和通行密钥验证器，打开允许该方式的应用。在 Access 登录页选择 Sign in with a passkey，再选择 Don’t have a passkey? Set one up。接下来使用当前可用的登录方式验证身份；如果通行密钥是该应用唯一的登录方式，Access 会在注册时向邮箱发送验证码。

输入便于识别的名称，选择 Add passkey，按浏览器或操作系统提示保存，完成后选择 Back to sign in。注册保存凭据和满足应用访问策略是两个环节；已有通行密钥也不自动获得所有受保护应用的访问权限。

日常登录无需输入邮箱，自动提示可以取消

打开允许通行密钥登录的应用，选择 Sign in with a passkey，选取已保存凭据并完成验证器提示。该登录流程不需要输入邮箱，随后仍由 Access 评估应用策略。

管理员启用自动提示后，回访用户可能直接看到浏览器提示；用户可以取消并选择另一种被允许的登录方式。受支持的浏览器也可能在邮箱输入框提供已保存的通行密钥，具体行为取决于浏览器支持。

管理或删除凭据时，区分未来登录与现有会话

用户可在 Access 登录页选择 Manage passkeys，先用可用方式验证身份，再添加、重命名或删除自己的通行密钥，并确认相应操作。名称可帮助识别设备或用途，但不改变应用授权范围。

管理员移除用户凭据的文档路径为 Zero Trust > Team & Resources > Users，选择用户并打开 User identity，在 Passkeys 中删除对应项并确认。删除后，Access 不再接受这枚凭据用于未来登录。

删除凭据不会自动结束该用户已经建立的 Access 会话；需要结束活动会话时，应另行撤销会话。不要将删除密钥视为让所有已登录设备立即退出。

凭据没有出现时，先检查设备和允许的恢复方式

如果列表没有显示已保存通行密钥，先确认它是否保存在当前设备或正在使用的密码管理器中。浏览器支持时，可以按其提示使用另一台设备上的通行密钥；这不是所有浏览器和验证器都具备的统一能力。

无法使用已注册凭据时，选择其他被允许的登录方式，或联系管理员处理，再按注册流程建立替代凭据。本文依据公开公告和文档整理，没有实际进入组织后台、注册密钥或变更任何访问策略。