Twilio Authy 桌面应用终止支持
Twilio 决定停止支持 Authy 桌面应用，正促使用户重新思考他们如何处理双因素认证，尤其是那些依赖手机和电脑之间同步令牌以获得冗余和便利的用户。许多人对 Authy 让导出 TOTP 密钥变得如此困难感到沮丧，认为这是一种供应商锁定，并且对于账户安全这样关键的事情来说是一个严重缺点。人们正在权衡诸如内置 TOTP 的密码管理器、开源认证器和硬件密钥等替代方案，同时也在持续争论把密码和第二因素代码放在同一个地方或同一设备上所带来的安全取舍。
数据导出、锁定效应与专有的 2FA 后端
- 多篇帖子指出，Authy 会故意让导出 TOTP 密钥变得困难，一边以“安全”为由，一边实际上制造了锁定效应。
- 导出通常需要特定的旧版桌面客户端，以及一些技术步骤（调试控制台、第三方工具、已 root 的手机、复制 XML/SQLite）。
- 删除 Authy 账户可能会静默禁用那些把 Authy 作为后端的账户上的 2FA（例如 Twitch，历史上的 Cloudflare），有时甚至会让恢复变得不可能。
- 一些服务（例如 SendGrid，至少过去如此）要求使用 Authy 特定代码，进一步加强了生态锁定。
安全模型：密码和 TOTP 放在同一个地方
- 许多人对把密码和 TOTP 存在同一个应用里感到不安，担心失去“真正的”第二因素。
- 反驳观点是：威胁模型通常是凭据被盗，而不是整台设备被完全攻陷；密码管理器本身已经是单点故障。
- 建议做法：
- 将密码管理器作为主要“认证服务”，用强主密码和硬件密钥加固。
- 对特别敏感的账户，把 TOTP 放在单独的设备或应用中，或放在一个很少打开、加密更严的保险库里。
替代方案与迁移策略
- 常见替代品：Aegis、2FAS、KeePass/KeePassXC（有时放在单独的数据库中）、Bitwarden、1Password、Proton Pass、Ente Auth、浏览器扩展（例如 authenticator.cc）以及与操作系统集成的方案（Apple Keychain）。
- 有些人会双重存储（例如 Aegis + 另一个管理器）以获得冗余和更容易的恢复。
- 还有不少用户会在每个网站上重新生成 TOTP 密钥，而不是尝试从 Authy 中提取它们。
桌面端 vs 移动端、冗余与可用性
- 桌面应用因其冗余性而受到重视（手机丢失/损坏、电池没电、旅行场景），以及在手机不在身边时的便利性。
- 许多人不喜欢在访问“整个数字生活”时完全依赖单一移动设备。
- 在 Apple Silicon Mac 上，安装 iOS/iPadOS 版 Authy 应用被视为一种权宜之计，但并非一等公民的支持。
对 Twilio 的信任与 2FA 的采用影响
- 这一决定被广泛视为短视的削减成本，或是倾向于 SMS/其他收入来源的举动。
- 一些人表示，这强化了他们对专有 2FA 生态的怀疑，并推动他们转向开源、自托管、且易于导出的方案。
- 也有人担心，像这样的故事会让非专业用户对采用 2FA 本身望而却步。