从 1Password 迁移到 Vaultwarden：密钥会失效吗？避坑指南

最近不少朋友在讨论自建密码管理器，尤其是想从老牌的 1Password 迁移到开源免费的 Vaultwarden（Bitwarden 的服务端实现）。大家在折腾的过程中，最担心的一个问题莫过于：把数据导进去以后，之前存的那些两步验证（2FA）密钥，TOTP 代码是不是就全废了？还能用吗？

Vaultwarden (Bitwarden 的服务端实现)

今天我就把这个问题掰开了揉碎了讲讲，顺便给大家整理一份实用的迁移避坑指南。

核心：密钥失效的概率极低

首先给各位吃颗定心丸：正常情况下，迁移不会导致你的双因素验证密钥失效。

1Password 和 Vaultwarden 生成的 TOTP 验证码对比

这里需要搞清楚一个概念：密码管理器里存的“TOTP 密钥”（比如 Google Authenticator 扫描的那一串字符）和你在网站上设置的密码是两码事。

• 1Password：它可以把密钥和账号密码存在同一个条目里，非常方便。
• Vaultwarden/Bitwarden：同样支持 TOTP 功能，官方客户端也能完美存这些密钥。

当你从 1Password 导出数据（通常是导出为 .csv 或 .json 文件）再导入到 Vaultwarden 时，导出文件里其实已经包含了 TOTP 的 Secret Key（或者 1Password 专用的otpauth URI）。Vaultwarden 足够聪明，能够识别这些字段并自动转换为它自己的格式。所以，只要你导出导入的过程没报错，理论上你打开 Vaultwarden，点击那个六位数的小图标，生成的验证码应该和 1Password 里的一模一样。

为什么有人说失效了？

既然理论上没问题，为什么偶尔会听到有人抱怨“迁移完登不上了”？这通常是因为踩了以下几个坑，而不是密钥本身失效了：

1. 导出格式不对：1Password 比较封闭，它最标准的导出格式是 .1pux。虽然很强大，但 Vaultwarden 可能不直接认这个格式。很多人为了图省事或者兼容性问题，选择了 CSV 格式导出。注意： 旧版 1Password 的 CSV 导出有时可能不包含 TOTP 字段，或者需要你手动在设置里勾选“导出两步验证秘钥”。如果你没勾选那一步，导进来的自然就只剩下账号密码，没有验证码了。

2. 字段映射错误：有时候导入 CSV 时，Vaultwarden 没能自动识别哪一列是 TOTP。导入后你需要手动检查一下，如果发现验证码没进来，可能需要去 1Password 里点一下“显示”，把那个 Key 复制出来，手动粘贴到 Vaultwarden 对应的条目里。

3. 不是迁移问题，是绑定问题：有些网站的双因素验证是有绑定限制的。如果你在迁移期间，同时也手贱在网站上重新扫了码绑定了新的 App（比如绑了手机版 Authy），那么原来的密钥可能会被网站标记为失效。这与从 1Password 换到 Vaultwarden 无关，纯粹是操作顺序的问题。

迁移实操建议：保姆级流程

为了确保万无一失，建议大家按照下面的步骤来操作，不要省事：

1. 准备工作：在动手之前，务必先把你重要的 2FA 密钥手动截个图或者手抄一份备份。这是最后的底线，防止任何意外导致无法登录关键账号（比如谷歌、微软账号）。

2. 确认导出内容：在 1Password 的导出设置里，仔细查看是否有关于“One-Time Passwords”或“TOTP”的选项。如果有，一定要选上。尽量使用 .csv 格式如果是为了兼容性，或者寻找社区提供的第三方脚本将 .1pux 转换为 Bitwarden 能识别的 JSON 格式。

3. 导入检查：数据进入 Vaultwarden 后，不要急着把 1Password 删了。挑选几个经常用的、带有 2FA 的网站（比如 GitHub），对比一下 1Password 和 Vaultwarden 生成的验证码。如果前四位、后几位数字能对上，甚至完全一致，那就说明迁移成功了。

4. TOTP 验证：如果发现部分条目没有自动生成验证码，去 Vaultwarden 网页端或客户端编辑该条目，在“验证码”或“TOTP”选项里，手动把 1Password 里的 Key 粘贴进去（通常是一串 Base32 字符）。

总结

从 1Password 迁移到 Vaultwarden 是一个非常划算的“消费降级”或者说“技术升级”，既省钱又掌握了数据主权。而关于密钥失效的问题，大部分是吓唬人的。只要你导出时包含了完整的字段，导入后稍加核对，你的双因素验证就能丝滑地在新家里继续工作。

还在犹豫的朋友，赶紧行动起来吧，把自己的数据掌握在自己手里才是最安全的！