為什麼沒有雙重驗證（2FA）？

因為這是刻意的取捨，不是疏忽。大家熟悉的那種 2FA（簡訊驗證碼或驗證器應用程式）是為了補強人類自選的弱密碼而存在的，而且仰賴一個放在伺服器上的共享祕密與復原管道。那正是助憶詞模式移除掉的攻擊面：你的裝置透過簽署挑戰值證明自己持有金鑰，所以我們的伺服器只會收到公鑰與簽章，永遠收不到助憶詞，也不存在密碼雜湊。硬要疊一層驗證碼上去，等於把這個設計刻意避開的伺服器端機制又搬回來，對防止猜測卻毫無新增助益，因為 128 位元早已關上那扇門。

唯一真正能加分的第二因素是抗釣魚的那種，例如硬體安全金鑰或密碼金鑰（passkey），因為殘餘的風險其實不是被猜中，而是釣魚、惡意軟體，以及助憶詞被偷或被偷看。至於放著沒鎖的裝置，應用程式鎖定（PIN 碼）與生物辨識解鎖就是本機的後盾。

除此之外，助憶詞就是鑰匙，所以請在建立帳號當天就備份：存進信譽良好的密碼管理器，或列印、抄寫下來，把那份副本收在安全的地方。除了應用程式本身，永遠不要把它貼進任何其他地方。