掃完最後一張 QR code，才敢讓舊手機退休
雙十一剛下單的新手機到貨，貼膜、轉通訊錄、搬相簿，進度條一路順利。直到登入網銀或遊戲帳號，畫面跳出「請輸入六位數驗證碼」，不少人這才想起，負責產生那組數字的 App，還住在舊手機裡。
Google Authenticator 是很多人慣用的雙因素驗證工具。它和一般 App 最不一樣的地方在於：多數 App 重新登入就能救回來，它卻可能因為一次「恢復原廠設定」，把所有帳號的鑰匙一起送走。11 月 7 日，APPI News 刊出一篇完整的轉移流程整理（公開報導），趕在這波換機潮之前；類似的教學每年此時都會被翻出來重讀一輪，因為換機這件事本身也在變少。把手機用成傳家寶的釘子戶越來越多，換機週期一拉長，搬家的步驟就一年比一年陌生。
這篇文章把那套流程攤開，也順著每三十秒就換一組的數字，回頭看這場持續了將近四十年的帳號保衛戰。
第一問：那組數字住在雲端，還是手機裡？
轉移之前，先確認存放方式。Google 官方說明（官方公告）列出兩種狀態：
- 帳戶同步：在 App 內登入 Google 帳戶，驗證碼同步到帳戶。新手機裝好 App、登入同一帳戶，代碼自動出現。
- 裝置儲存：選擇不登入帳戶，代碼只儲存在當前裝置，換機必須靠舊手機手動匯出。
確認的方法不難：在舊手機打開 Authenticator，看右上角的個人資料圖示。若顯示已登入的帳戶，先檢查代碼清單是否都掛在同步狀態；若是裝置儲存，接下來每一步都得靠那支舊手機。臺灣用戶可從 App Store 下載這款 App，官方也提供繁體中文的說明頁。
官方文件還提醒一件容易忽略的事：把 App 切換成「不登入帳戶」的模式時，已同步的代碼會從 Google 帳戶移除，只留在裝置上。同步與裝置儲存之間可以互相切換，但方向不同，後果差很多。
第二問：舊手機還在，兩支手機面對面掃碼
裝置儲存模式下，轉移需要兩支手機同時在場。依 Google 官方轉移步驟（官方公告）：
- 舊手機開啟 Authenticator，選「轉移帳戶」，再選「匯出帳戶」，解鎖後勾選要轉移的項目。
- 新手機開啟 App，選「轉移帳戶」裡的「匯入帳戶」，掃描舊手機畫面上的 QR code。
- 帳戶多的話，舊手機會產生多張 QR code，要逐張掃完。
掃完之後，先別急著清掉舊機。用新手機上的代碼，逐一登入常用服務。App 裡出現代碼，只代表轉移成功；網站端接不接受，要真的登入一次才知道。全部測試通過，再登出舊機、清除資料或送修。
「先測試、再清除」這段收尾，官方文件寫得明白，實務上卻最常被跳過。換機那天的事情太多，驗證碼通常排在最後一項，偏偏風險最高。
第三問：舊手機不在了，還有哪幾條路？
如果舊機遺失、故障或無法解鎖，而且代碼沒有同步，QR 匯出這條路就走不通了。這時要回到每個服務自己的備援機制（官方公告）：
- 備援碼：多數服務在開啟兩步驟驗證時，曾發給一組一次性代碼。
- 安全金鑰：已登錄的實體金鑰。
- 其他已登入的裝置：還保持登入狀態的電腦或平板。
- 帳戶復原流程：各服務的官方救援入口。
Google 帳戶的備援碼有兩個特性：每組代碼用一次就失效；重新產生新的一組時，舊組全部作廢。另外，其他服務的備援碼救不了 Google 帳戶，兩邊是分開的。被鎖在門外的人，常在這一步才發現自己從沒下載過備援碼，或者忘了當初存在哪個雲端硬碟資料夾。
從鑰匙圈到雲端：這場搬家走了將近四十年
這套讓人又依賴又緊張的機制，比智慧型手機老得多。動態密碼的概念可以追溯到 1986 年 RSA 推出的 SecurID 硬體 token（公開報導），一片掛在鑰匙圈上的小螢幕，數字定時跳換。2000 年代的臺灣，許多網路銀行用戶都領過類似的實體密碼器，抽屜深處現在可能還躺著一兩個。
遊戲世代對它的記憶更鮮明。2008 年 Blizzard 推出 Battle.net Authenticator（公開報導），魔獸世界的玩家把硬體令牌掛上鑰匙圈，那是一個帳號就是資產的年代。後來令牌搬進手機，Google Authenticator 於 2010 年上線；2011 年 IETF 把 TOTP 整理成 RFC 6238 標準，建議的時間區間定為三十秒（官方標準文件）。
漫長的歲月裡，Authenticator 有個眾所皆知的短處：代碼只存在手機上，手機弄丟，代碼跟著消失。直到 2023 年 4 月，Google 才加入帳戶同步（公開報導）；上線後又被指出同步資料少了端對端加密，Google 隨後補上。從鑰匙圈上的硬體，到雲端裡的副本，這趟路走了將近四十年。
三十秒這個數字，決定了這款 App 的性格。官方說明指出，它可以在沒有網路、沒有門號的狀態下離線產生代碼，開飛航模式也照常運作；代碼不經過簡訊，少了 SIM 卡被攔截的風險。安全感和麻煩，出自同一個設計。
按下還原之前，最後檢查一遍
把官方說明與實務經驗合起來，換機前後的順序大致是：
- 在舊機確認存放狀態：帳戶同步，或裝置儲存。
- 裝置儲存的話，先完成 QR 匯出與新機匯入；舊機先留著，不要提前恢復原廠設定。
- 用新機逐一測試常用帳戶，確認重要服務另有備援登入方式。
- 全部通過之後，再移除舊手機上的帳戶，或清除裝置資料。
越來越少練習的搬家功課
數位生活的告別儀式，近年一場接一場。從守了十一年的 Win10 收到微軟的升級邀請，到各種服務的關站與資料下載期限，大家慢慢學會替舊東西辦後事。相比之下，驗證碼搬家是最安靜的一種：沒有公告可看，時間點由你自己決定；三十秒一跳的數字，只會在換機那天提醒你，有些東西不會自己跟過來。
下一代答案或許已經在路上。Passkey 想把密碼與驗證碼一起送進歷史，用生物辨識與裝置本身完成登入；來源文章也建議，比較換機後的登入方案時，可以先檢視各種憑證的儲存與同步條件。在那一天到來之前，每次換手機，這組六位數字仍然是最後一道、也最容易被忘記的關卡。
你的備援碼，現在還找得到嗎？
資料來源：本站編輯參考 APPI News〈Google Authenticator 換手機轉移流程〉（作者：張饒輝 Lightman Chang）改寫而成，原文出處；原文文字內容採 CC BY 4.0 授權。