2026-11-10 00:22（UTC+8），API易 发布了恢复通知：宽松期继续有效至 2027-12-31 23:59（UTC+8），现在登录控制台后就能直接绑定 Passkey 和 2FA，不用再等 72 小时。旧系统令牌只是计划在 2026-11-11（UTC+8）停用。平台写明会根据使用情况决定是否延期，截至 2026-11-10，还没有“已经停用”或“已经延期”的新通知。
动手前先分清三种凭证，后面的步骤才不会出错。登录网站用密码、Passkey 和 2FA；调用模型用 sk- 开头的模型密钥；脚本查余额、查日志、管理密钥，用 nap_ 开头的个人访问令牌。这三者不能互相替代，本文按个人中心页面的实际顺序，带你把它们逐一设好。
API易 Passkey、2FA 和令牌核心要点
下面这张表是全文的基础。之后每一步遇到问题，都可以先回到这里，确认自己手里拿的是哪一把凭证。
| 凭证 | 长什么样 | 能做什么 | 不能做什么 | 在哪里管理 |
|---|---|---|---|---|
| 登录验证（密码、Passkey、2FA、GitHub） | 指纹、面容、锁屏密码，或 6 位动态码 | 保护控制台登录，用于导出等敏感操作的重新验证 | 不能调用模型和管理接口 | 个人中心 |
| 模型密钥（API Key） | sk- 开头 |
调用 OpenAI、Claude、Gemini 等模型 | 不能保护登录，泄漏后 2FA 也挡不住 | 令牌页 |
| 个人访问令牌 | nap_ 开头 |
让脚本查余额、查日志、管理模型密钥 | 不能调用模型，也不能改密码或两步验证 | 个人中心 → 账户选项 |
个人中心的地址是 https://api.apiyi.com/account/profile，也可以点网站右上角或左侧导航的“个人中心”进入。后面所有绑定和创建操作都从这个页面开始。
还提示等 72 小时？API易 Passkey 和 2FA 现在怎么理解
72 小时规则本身没有取消，只是宽松期内暂停执行。官方文档、平台通知、归纳出来的操作顺序和文档没写的部分，下面分四类列出，避免把推测当成结论。
| 信息类型 | 内容 |
|---|---|
| 官方原规则 | 仅用密码登录的账号，须在同一登录会话和环境下稳定满 72 小时才能首次绑定，换网络会重新等待 |
| 平台通知（10-04） | 即日起至 2027-12-31 23:59（UTC+8）为绑定宽松期，登录后即可直接绑定；高风险登录仍按原规则拦截 |
| 平台通知（11-10） | 11 月 6 日服务器切换后，宽松策略一度没有在新环境生效，现已恢复 |
| 宽松期结束后 | 恢复原规则，新环境中仅凭密码登录的账号仍需稳定满 72 小时才能新增验证方式；已经绑定的不受影响 |
| 文档没写 | 宽松期结束后高风险登录具体如何拦截，文档没写后续通知 |
如果你在 11 月 6 日之后看到过“需要等待”的提示，原因是服务器切换，不是你的账号有问题。现在刷新页面就能重试。宽松期还有一年多，但建议今天就绑上，2027 年底之后再从新环境登录时，就不会被 72 小时卡住。
🎯 操作建议：绑定是在已登录状态下进行的，只增加一种验证方式，不影响余额、模型密钥和调用记录。API易 的 API 调用在绑定过程中不会中断。
API易 Passkey 和 2FA 按什么顺序点
官方推荐的顺序是先绑 Passkey，再绑 2FA 作为备用。顺序反过来会触发一个卡点，下一节会讲。
第一步：绑定 API易 Passkey
打开个人中心，滑到页面最底部的“账户选项”，点击 绑定 Passkey。浏览器会弹出系统窗口，询问“选择保存 apiyi.com 通行密钥的位置”。先确认弹窗里的域名是这个，域名不对就不要继续。
选择保存位置后，用指纹、面容或锁屏密码确认。完成后按钮会变成 解绑 Passkey，旁边显示最后使用时间。下次打开登录页，就能选择 Passkey 登录。
保存位置决定了这把钥匙能不能跟着你换设备，建议对照下表选择：
| 保存位置 | 适合场景 | 是否同步 |
|---|---|---|
| iCloud 钥匙串 | Mac、iPhone、iPad | 在自己的 Apple 设备之间同步 |
| Google 密码管理工具 | Chrome 和 Android | 跨设备同步 |
| 手机、平板或安全密钥 | 在别人电脑上临时登录：电脑端扫码，在自己手机上验证 | 钥匙在手机或安全密钥上 |
| 本机浏览器配置文件 | 只在这台机器上用 | 不同步，换电脑或重装系统后就没了 |
关于 Passkey 有几点要先说清楚。它基于 WebAuthn / FIDO2，私钥只留在设备或密码管理器里，服务器上只有无法反推私钥的公钥；指纹和面容只在本地校验，不会上传。Passkey 不能用来注册新账号，也不会替换密码，绑定之后密码登录和 GitHub 登录照常可用。另外，不要在公用电脑上绑定。
第二步：绑定 2FA 并另存备用码
还是在个人中心，找到页面下方的 2FA 区域。用 Google Authenticator、Microsoft Authenticator 或其他兼容 TOTP 的验证器扫描二维码，再输入验证器里每 30 秒刷新一次的 6 位动态码。
绑定成功后，页面会给出备用码，一定要保存。换手机、丢设备或验证器被误删时，备用码是重新登录的凭据。不要只截一张图留在装验证器的那台手机上，可以存进另一台设备的密码管理器，或者抄在纸上收好。
绑定完成后，网站登录、创建 API KEY、导出等敏感操作可能会要求输入 2FA 动态码或验证 Passkey。这是正常的安全校验，不是出错。
API易 Passkey 或 2FA 绑不上、提示「保存验证状态失败」怎么办
卡点一：页面仍然提示需要等待
宽松期是按登录会话放行的。部分较早登录的会话曾经触发过重新验证要求，不会被自动放行，在这个会话里反复操作只会一直提示等待。按下面的顺序处理：
- 刷新页面重试。
- 仍然提示等待的，退出账号后重新登录，这样会生成新会话。
- 等待约一分钟，系统完成放行后，刷新账号设置页再绑定。
- 还是不行，换最新版的 Chrome、Edge 或 Safari，并确认设备已经设置锁屏密码或生物识别。
另外，部分 App 内置浏览器不支持 WebAuthn，点了“绑定 Passkey”可能根本不弹窗。遇到这种情况，换到系统浏览器操作即可。
卡点二：先绑了 2FA，再绑 Passkey 时提示「保存验证状态失败」
先绑 2FA 后，系统会要求重新验证当前的登录状态，此时继续绑 Passkey，就会出现「保存验证状态失败」。处理方法是退出账号，用 密码 + 2FA 动态码 重新登录一次，然后回到个人中心底部再点“绑定 Passkey”。
GitHub 一键注册的账号通过 GitHub 登录，不需要另设密码。不论哪种账号，都建议保留一种备用登录方式，比如密码、注册邮箱或 GitHub，不要只依赖某一台设备上的 Passkey。
💡 小提示：绑定属于修改验证方式。官方文档写明：“修改密码、两步验证或通行密钥，这三项任一改动都会撤销全部个人访问令牌”。如果绑定后你的管理脚本开始返回 401，回个人中心重新创建个人访问令牌并替换即可，模型调用不受影响。
API易 模型密钥、个人访问令牌和旧系统令牌怎么分开
模型密钥（sk-）在令牌页 https://api.apiyi.com/token 管理，用来调用模型，数量没有上限。个人访问令牌（nap_）在个人中心的账户选项里，用来调用管理接口，每个账号最多 20 个。旧系统令牌是管理接口的旧凭证，将由个人访问令牌取代。
| 对比项 | 旧系统令牌 | 个人访问令牌 |
|---|---|---|
| 权限 | 拥有账号全部权限 | 按需勾选，读取、写入、查看密钥相互独立 |
| 数量 | 每个账号 1 个 | 最多 20 个 |
| 到期 | 不过期 | 默认 30 天，可选 90、180、365 天、自定义或永不过期 |
| IP 白名单 | 不支持 | 支持 IPv4、IPv6、CIDR，创建后不能修改 |
| 前缀 | 无固定前缀 | nap_ |
| 状态 | 计划 2026-11-11（UTC+8）起停用 | 当前推荐 |
把管理脚本换成 API易 个人访问令牌
- 打开个人中心，在账户选项里点 个人访问令牌，再点右上角的 创建令牌。
- 名称按用途填写，例如“对账脚本”“余额监控”。到期时间建议选久一点，比如 365 天。
- IP 白名单先留空（留空表示不限制），只勾选脚本用得到的权限。
- 点 创建令牌 后立刻复制保存，再把脚本环境变量或配置里的旧值换成新令牌。
接口地址和代码都不用改。基础地址仍是 https://api.apiyi.com，请求头 Authorization 填令牌本身，加不加 Bearer 前缀都可以。
权限按接口勾选，勾多了反而增加风险：
- 余额查询
GET /api/user/self：勾“个人资料 · 读取”。 - 日志查询
GET /api/log/self：勾“用量与个人记录 · 读取”。 - 列出或查询模型密钥：勾“模型密钥 · 读取”；创建、修改、删除勾“模型密钥 · 写入”；获取明文勾“模型密钥 · 查看密钥”。
注意，勾了写入不等于能读取，勾了读取也看不到明文。修改密码、两步验证这类操作，即使令牌勾了写入也做不了，仍然要登录网页完成。
脚本调通之后，再新建一把带白名单的正式令牌，把生产服务器、备用服务器等的公网出口 IP 填进去，多个地址用英文逗号分隔。换上正式令牌后，删掉那把不带白名单的测试令牌。一个脚本用一把令牌，泄漏时只删那一把就行。
🚀 迁移建议：趁着 2026-11-11 计划停用日之前在 API易 完成替换，最稳妥。停用当天是否真的执行、之后会不会临时延期，文档目前没有后续通知，不要指望临时延期。
API易 密钥泄漏或脚本 401 时先做哪一步
模型密钥泄漏：先停，再查
一个模型密钥的最大可用额度就是账户余额。泄漏后的第一步，是到 https://api.apiyi.com/token 删除或禁用这个令牌，这是唯一能立即止损的动作，要优先于排查。然后新建令牌：关闭无限额度，填写授权额度，需要的话勾“启用高级选项”设置 IP 白名单和可用模型，再更新到应用配置。最后检查调用日志里有没有陌生模型、异常调用量或不该出现的时间段，并清理代码、文档、截图和对话记录里的泄漏源。
曾把密钥放在 Railway 且还没有轮换的，先停用旧的，再新建替换，并更新环境变量、重新部署。没有用过 Railway 的，不需要因为这则通知去轮换。
脚本报 401 或 403：对照报文处理
| 状态码 | 报文 | 原因 | 处理 |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
仍在用旧系统令牌，且已过停用日期 | 创建个人访问令牌替换 |
| 401 | This access token may not be used from the current IP address. |
来源 IP 不在白名单 | 白名单不能改，新建令牌 |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
没勾对应权限 | 新建令牌，勾上需要的权限 |
| 401 | 只提示令牌无效 | 已过期、已删除，或改过密码、两步验证、通行密钥 | 回个人中心重新创建 |
日常预防比事后补救轻松得多。测试用的模型密钥要关闭无限额度，额度建议 5 到 50 美元，并设置过期时间。生产和测试分开使用，真实密钥不要写进代码或 Git，对外截图用 sk-your-api-key 这样的占位符。
常见问题 FAQ
Q1：绑了 API易 Passkey 或 2FA，还能用密码登录吗？
能。第二验证是新增的一层，不替代密码，GitHub 登录也照常可用。部分操作会额外要求动态码或 Passkey 验证。
Q2：2FA 备用码丢了怎么办？
还能登录的话，进个人中心重新绑定 2FA，并保存新的备用码。没有备用码、又登不进账号时，联系 [email protected]，核验身份后协助解绑。
Q3：家用网络要不要给个人访问令牌开 IP 白名单？
不建议。家用宽带、办公网络的出口 IP 会变，开了白名单容易突然报 401。可以改用只读权限，加上较短的到期时间。
Q4：个人访问令牌能拿去调模型吗？
不能。调用模型继续使用 `sk-` 开头的模型密钥，base_url 填 `https://api.apiyi.com/v1`。`nap_` 令牌只用于余额、日志和令牌管理接口。
Q5：个人访问令牌的白名单填错了，能直接改吗？
不能，个人访问令牌的白名单创建后不能修改，只能新建一把再删掉旧的。模型密钥的白名单是另一套设置，可以临时清空后再补回，两者不要混淆。
Q6：换手机后 Passkey 还在吗？
取决于保存位置。存在 iCloud 钥匙串或 Google 密码管理工具里的会同步；只存在本机浏览器配置文件里的不会同步。设备丢了，用密码或 GitHub 登录，解绑旧 Passkey 后在新设备上重新绑定。
总结：今天做完这四件事
- 绑 Passkey：个人中心底部账户选项 → 绑定 Passkey，优先选会同步的保存位置。
- 绑 2FA 并另存备用码：备用码不要只存在装验证器的那台手机上。
- 测试令牌关掉无限额度：在令牌页给测试用的模型密钥设置小额上限。
- 管理脚本换成个人访问令牌：赶在 2026-11-11 计划停用日之前，用
nap_令牌替换旧系统令牌。
四件事都从 https://api.apiyi.com/account/profile 开始，十几分钟就能做完。做完后，登录、模型调用、管理脚本各用各的凭证，任何一把出问题，都只需要处理那一把。
作者：APIYI 技术团队
技术交流：更多账号与令牌说明，可查阅 docs.apiyi.com 文档中心的账号安全与个人访问令牌 FAQ
