你离世后的密码管理器

密码管理器是你数字生活的主钥匙：一个加密的保险库，存放着你银行、电子邮件、照片、订阅以及几乎所有其他登录账户的凭据。在你离世之后，正是这同一套设计变成了一个单点故障。保险库由一个主密码保护，按其设计，别人无从知晓，连提供商本身也无法恢复。如果你没有事先安排好进入的方式，你的家人继承到的便是一个上了锁的盒子，却没有钥匙。

本页面解释了密码管理器在你离世后会怎样、主流工具如何处理紧急访问与传承访问，以及如何一步步进行设置。它还涉及底下那个更艰难的事实：进入保险库只是第一个问题，而它所授予的访问权，并不等同于行动的权限，也不等同于你家人所失去的那个人。

为什么保险库不同于普通账户

理解为什么密码管理器在死亡面前会如此彻底地失效，而银行或电子邮件提供商却不会，这会有所帮助。你所拥有的大多数账户都由一个能够读取它们的托管方持有。银行可以核验一份死亡证明并释放资金；电子邮件提供商在某些情况下可以授予遗嘱执行人访问权。托管方持有数据，并且可以选择把它交出去。

一款严肃的密码管理器是被刻意构建成不存在任何托管方的。它使用端到端加密，密钥由提供商从不会看到、也无法重置的主密码生成。这正是你在活着时所付费购买的特性，因为它意味着公司服务器遭到入侵也不会暴露任何可用的东西。在你离世之后，它却变成了问题：没有任何人有权力让你的家人进入，因为这套设计恰恰把这种权力从所有人手中移除了，包括提供商在内。唯一的进入途径，就是你自己事先设置好的那些。

紧急访问与传承访问的对比

领先的密码管理器都清楚主钥匙这个难题，且大多数都提供了一种指定他人来恢复你保险库的方式。这些机制在一些重要方面有所不同，而这些差异在最糟糕的那一刻最为关键。

1Password 本身并没有所谓的死亡开关。取而代之的是，它为你提供一个 Emergency Kit，一份可打印的文件，包含你的账户电子邮件、你的 Secret Key，以及一处用来写下主密码的空白。任何持有一份填写完整的 Emergency Kit 的人都可以完整登录。对于共享账户和家庭账户，家庭组织者还可以恢复另一名成员的账户，这是 1Password 最接近真正传承功能的做法。这套工具包就是其模式所在：一件你存放在某个安全之处的实体物件，而非一种自动化的移交。

LastPass 提供内置于产品中的 Emergency Access。你指定一位已经拥有 LastPass 账户的可信任的人，并设定一段等待期。当他们请求访问时，你会收到通知，并有那段等待期的时长来拒绝。如果你什么都不做，因为你已经离世，等计时器到期时访问便会被自动授予。Bitwarden 以同样的模式运作，配有它自己的 Emergency Access 功能：一位指定的受托人、一段可配置的等待时间，以及在请求无人回应而成熟之后，对保险库的查看权或接管权。

Apple 走了一条不同的路。Apple Passwords 没有独立的紧急访问工具，但它位于你的 Apple Account 之内，而后者支持 Legacy Contact。你指定一些人，他们在你离世后可以通过提供一份死亡证明以及一把 Apple 生成的访问密钥来请求访问你账户中的数据。它是覆盖整个账户的，而非针对单个密码的，并且它由 Apple 的审核把关，而不是一个简单的计时器。这四者共同的现实教训是，不存在单一的标准。其中两者用计时器自动化访问，一者交给你一件可打印的物件由你自己保管，还有一者把这个问题纳入了一个更广泛的账户恢复流程。无论你用哪一种，你都得去了解它各自的具体规则，而不能假设默认就存在一个死亡开关。

Every one of these tools is built on the same quiet bet: that the person you nominate is still the right person, and still reachable, on the day it matters.

等待期模式，以及它存在的原因

等待期是 LastPass 和 Bitwarden 所采用的自动化方式的核心，它值得被理解，而不只是被一路点击略过。其逻辑是对两种风险的权衡。如果访问是即时的，一个心怀恶意的可信任联系人就可能在你活得好好的时候夺取你的保险库。如果没有你就根本无法访问，那么这个功能在死亡面前就毫无用处。等待期折中了这两者：它给你这位在世的账户持有人一个窗口，让你注意到请求并加以拒绝。沉默被解读为同意，而在你离世之后，剩下的只有沉默。

这很精巧，但它有一个锋利的边缘。这个窗口只有在你活着能看到通知时才能保护你，这意味着它取决于你是否仍然掌控着提醒所发往的那个电子邮件或设备。它还意味着，决定结果的是计时器，而非人的判断。没有遗嘱执行人在审阅这个请求，没有人核查这是否真的是恰当的时刻。同样的结构性缺口也出现在离世后的数字账户之中：平台工具把一个决定自动化了，而在一份遗产里，这个决定其实真正需要一个有相应资格的人在背后承担。

如何一步步设置紧急访问

无论你用哪种管理器，设置都遵循类似的形态。要点在于趁你活着、有能力的时候有意识地去做，并写下恢复途径存放在何处，好让它真正能被找到。

• 选对人。挑一个你完全信任、并且很可能比你活得更久的人，并告诉他们你已经指定了他们。一个并不知道自己被指定的可信任联系人，根本帮不上任何忙。

• 在 LastPass 或 Bitwarden 中，在账户设置里打开 Emergency Access，通过电子邮件添加那个人，并选择查看权或接管权。他们需要拥有自己的免费账户才能接受邀请。

• 设定一段你能接受的等待期。越短意味着你的家人能更快访问，但留给你察觉错误请求的时间也越少；越长则正好相反。几天到一周是一个常见的折中区间。

• 在 1Password 中，生成并打印你的 Emergency Kit，亲手写下你的主密码，并把它存放在某个实体安全的地方，比如家中的保险箱，或与你的遗嘱文件放在一起，而不要放在它所解锁的那个保险库里。

• 在 Apple Passwords 中，打开你的 Apple Account 设置，添加一位 Legacy Contact，并确保他们收到并保管好 Apple 提供的访问密钥。没有那把密钥，仅凭一份死亡证明是不够的。

• 记录下恢复途径存放在何处。在一份与你的遗产文件放在一起的私人便笺中，列出你使用的是哪款密码管理器，以及访问权应当如何被授予，好让你的遗嘱执行人知道这扇门的存在，以及门把手在哪里。

最后这一步是大多数人会忽略的。一个没人知道你配置过的紧急访问功能，实际上是隐形的，而你的家人无法使用一个他们从未得知的机制。

局限：访问不等于权限，权限也不等于身份

把这一切都设置妥当，你的家人便能进入你的保险库。这是必要的，但还不够。还有两道任何密码管理器都无法弥合的缺口，值得明白地点出来。

第一，访问不等于权限。持有你的登录凭据，能让某人打开你的账户；却并不赋予他们管理你遗产、关闭账户、转移资金或以你的名义做决定的法律资格。一位握有你主密码的可信任联系人，与一位获得遗产认证授予的遗嘱执行人，是不同的角色，而把两者混为一谈，恰恰会制造出一份好的计划本应防止的那种纠纷。这正是为什么严肃的规划会把保险库访问权交由一位具名的数字遗嘱执行人来处理，而不是简单地把钥匙交给离得最近的那个人。同样的区分对金融账户也至关重要：关于你离世后 PayPal 会怎样的恢复情况，或是关于你离世后你的加密货币会怎样的恢复情况，取决于权限，而不仅仅是一个密码。

第二，权限不等于身份。即便是一次执行得完美无瑕的移交，让合适的人在合适的时刻以合适的资格进入，所转移的也只是你的账户。它无法转移你这个人。保险库存放着你的凭据，却不存放你思考的方式、你所相信的事物，或是你家人将会怀念的那个声音。你的那一部分，无论存得多么妥当，都无法从一个密码中恢复。

这两道缺口会叠加。一位能打开你保险库却没有任何法律权限的可信任联系人，处于一种尴尬而暴露的境地，在他没有任何正式资格去触碰的账户上行事。而即便访问权和权限都已落定，家人留下的仍是这样一种奇异的体验：握有一个人用过的一切，却没有这个人本身的丝毫。一份组织良好的数字遗产能彻底解决第一个问题，却把第二个问题完全原封不动地留在那里，这正是为什么它不能成为计划的全部。

A password manager protects the key. It was never designed to protect the person.

从访问，到一份真正的遗产计划

紧急访问是一项功能；一份遗产计划是一套系统。其区别在于治理：不只是某人能否进入，还在于由谁来决定那一刻已经到来、以何种顺序授予访问权、以及凭借何种权限。在四个不同应用里散落的若干指定联系人，每一个都有它自己的计时器和它自己的规则，这并不是一份计划。它是几根松散的线头，其中任何一根都可能断裂，而在为时已晚之前没有任何人会察觉。

这正是Executor Lock™为之而生、要去弥合的缺口。它不再让每个账户各自依赖临时拼凑的恢复开关，而是在整幅图景之上置入一个单一的治理结构：一个三层的接收人模型、一位在你离世时拥有访问权的可信任联系人，以及一位可以报告你的离世并触发移交的遗嘱执行人。遗嘱执行人拥有最终的决定权，而每一个动作都被记录在一份永久的、仅可追加的审计轨迹中。这就是寄望于一个计时器正确到期，与拥有一位具名、且在那一刻真正到来时有权采取行动的人之间的区别。

密码访问只是数字遗产规划这门更广阔学问中的一章：趁你活着、有能力的时候，决定由谁、凭借何种权限，去触及你身后留下的东西。你的密码管理器应当被纳入那份计划之内，而不是用它来代替那份计划。

没有任何保险库能存放的那一部分你

所以，把紧急访问妥善地配置好。指定一个你信任的人，设定一段合理的等待期，打印出 Emergency Kit，指定你的 Legacy Contact，并告诉你的遗嘱执行人恢复途径存放在何处。若做得好，这份工作意味着你的家人不会在他们最无力去硬闯一个永远猜不到的主密码的那一刻，被锁在你的数字生活之外。

然后去做那项独立的、更为长久的工作。账户凭借一份计划是可以恢复的；而它们背后的那个人，只有当你选择去保存时才会被保存下来。这正是构建一个Persona的意义所在：一个受治理、以同意为先的呈现，呈现你之为你，在你活着的时候制作，然后被锁定，使其在你离世后无法被篡改或商业化。密码管理器留住的是钥匙。Persona留住的是这个人。两者你都需要，而其中只有一个会在保险库被打开的那一刻失效。Build Once. Live Twice.™