两步验证
两步验证让登录在密码之外，还需要手机上身份验证器应用生成的六位验证码。别人即使知道了密码，没有你的手机也登录不了。
绑定身份验证器
打开右上角账户菜单的 设置 → 安全，点击 设置两步验证，按向导完成四步：
- 安装应用：在手机上安装任意支持基于时间验证码（TOTP）的应用，例如 Google Authenticator、Microsoft Authenticator、腾讯身份验证器、Authy、1Password 或 Bitwarden。
- 扫码绑定：在应用中点击「添加账户」或「+」，扫描页面上的二维码。无法扫码时，点击「无法扫码？改为手动输入密钥」，在应用中选择「输入设置密钥」，填入显示的密钥，类型选「基于时间」。
- 输入验证码：输入应用中显示的六位验证码。验证通过后两步验证才会开启；在此之前关闭页面，账户不会有任何变化。
- 保存恢复码：页面会显示十个恢复码，只显示这一次。复制或下载后保存在手机以外的地方，勾选确认后完成。
开启后，你在其他设备上的登录会被退出，需要用密码和验证码重新登录。
登录
输入用户名和密码后，页面会要求输入验证码；输入六位数字后自动提交。使用 GitHub、Google 登录时同样需要验证码。
如果管理员开启了「记住浏览器」，可以勾选「在此浏览器上 N 天内不再询问」。关闭再重新开启两步验证，或者修改密码、管理员重置密码，都会让所有记住的浏览器失效。
通过 SSH 连接终端时，输入密码后会再提示 Verification code:，输入验证码即可。
手机丢失
登录时点击 改用恢复码，输入任意一个未使用的恢复码。每个恢复码只能使用一次。登录后建议在 设置 → 安全 中重新生成恢复码，或关闭后重新绑定新手机。
手机和恢复码都丢失时，请联系管理员重置两步验证。
管理员设置
在管理后台 安全 → 两步验证 中配置：
| 设置 | 说明 |
|---|---|
| 强制要求 | 可选：所有人可自愿开启，不强制；管理员进入管理后台时必须绑定：管理员可以正常登录和聊天，但在绑定前无法使用管理后台和终端里的管理命令；所有管理员必须绑定：未绑定的管理员登录后只能先完成绑定；所有用户必须绑定：所有未绑定的账户登录后只能先完成绑定。 |
| 验证器中显示的名称 | 用户应用中该条目的名称，留空时使用站点名称。 |
| 记住浏览器（天） | 输入验证码后，该浏览器在这么多天内可免输验证码。0 表示每次都要输入。 |
要启用任何强制要求，操作的管理员自己必须先开启两步验证，否则保存会被拒绝——这是为了避免把自己锁在后台之外。
进入后台二次验证
「进入后台二次验证」卡片可以要求管理员在进入管理后台时再输入一次验证码，而不只是在登录时：
| 模式 | 何时要求输入 |
|---|---|
| 关闭 | 不额外要求，登录时的验证码即可。 |
| 每次进入都验证 | 离开后台（回到聊天、刷新、关闭标签页）后再进入就要重新输入；停留在后台但超过设定分钟数无操作，也要重新输入。 |
| 无操作一段时间后验证 | 在后台持续操作不会被打断，离开再回来也不用输入，直到超过设定分钟数没有后台操作。 |
| 定期验证 | 输入一次后在设定分钟数内都有效，到时间后重新输入，无论是否在操作。最长 7 天。 |
选了任意模式后，还可以打开两个开关：网络变化时重新验证（请求的 IP 与输入验证码时不同）和浏览器变化时重新验证（同一个登录会话出现在别的浏览器里，例如 Cookie 被拷走）。任一触发都会作废本次解锁。
开启后，没有绑定验证器的管理员需要先完成绑定才能进入后台。验证状态按浏览器分别记录：在一台电脑上输入过，不代表另一台电脑也能直接进入。
终端里需要管理权限的命令受同样的约束，验证码手动输入：
2fa backoffice 123456在网页终端中，它和管理后台页面共用同一个浏览器的验证状态；通过 SSH 连接时，每个连接单独验证，断开后失效。命令被拦下时，终端会提示需要执行的命令。
「启用情况」卡片显示已开启的账户与管理员比例，并列出尚未开启的管理员。
用户丢失手机和恢复码时，在 用户 页面打开该用户，在「两步验证」一栏点击 重置。重置后对方仅凭密码即可登录；如果策略要求绑定，会被立即引导重新设置。重置操作会记录在安全日志中。
也可以在终端中完成这些操作：2fa status、2fa setup、2fa enable、2fa disable、2fa recovery 管理自己的两步验证，2fa backoffice 解锁管理命令；管理员使用 security two-factor 查看启用情况，user reset-2fa 重置他人的两步验证，setting set security.two_factor_policy everyone 修改策略，setting set security.two_factor_backoffice_mode visit 修改进入后台二次验证的模式（off、visit、idle、interval）。
强制策略只影响网页登录、第三方登录和 SSH 终端，不影响已经创建的 API 密钥。