同一台设备可以承担不同任务
搜索冷钱包安全密钥时，常会把两种用途混在一起：一种是保管钱包签名私钥，另一种是通过FIDO协议确认网站登录。它们可能由同一台设备完成，却服务于不同的系统和权限。
例如，在邮箱中登记安全密钥，是让邮箱服务识别一次登录；在钱包中确认转账，则是在授权对应的链上交易。外观相同的确认按键，不代表确认的事情相同。
登录密钥怎样证明身份
FIDO认证使用为特定账户和服务建立的密钥对。服务保存公钥，认证器保管私钥；登录时，认证器在用户确认后对挑战作出签名，由服务验证。用户不用把可重复输入的验证码交给网页。
凭据与登记的服务绑定，是抗钓鱼能力的重要来源。但它不是通用的网站信用评级，也不能替用户判断每个下载文件、客服请求或钱包授权是否合理。
链上操作遵循另一套权限规则
以以太坊普通外部账户为例，私钥用于签署交易。给邮箱或交易平台开启安全密钥，不会自动改写这个链上账户的验证规则，也不会在所有链上转账前额外增加一次该平台的登录审批。
因此，恢复资料一旦泄露，不能只修改网站密码就认定风险已经消失。反过来，设备上出现交易签名提示时，也不能因为自己刚完成登录而直接连续确认。
支持范围和恢复能力分别检查
是否支持FIDO2、U2F或无密码登录，要看设备型号、固件和目标服务。Trezor的官方说明就区分了不同型号的支持范围，不能把某一款产品的能力套到所有冷钱包上。
丢失设备后的恢复也取决于协议及凭据保存方式。不要仅凭存在钱包备份，就认为所有网站登录凭据都会自动恢复；应按服务要求配置独立的备用登录途径。
每次确认前读懂正在授权什么
登记安全密钥时，核对服务名称和账户；登录时，确认操作由自己发起；交易时，检查网络、接收对象及签名内容。遇到不认识的请求，先取消并从已确认的官方入口重新核对。
一份清楚的使用记录可以注明设备绑定了哪些服务、备用方式放在哪里，但不应包含助记词和私钥。把登录保护和钱包保护分别管理，才不会因功能名称相近而产生错误的安全感。