注册二维码可能等同于一份长期密钥

二维码泄露后的影响不限于当前 30 秒

登录时显示的数字很快更新，但用于注册验证器的 QR 常常包含持久的设置密钥。别人若拿到该密钥，可能在你不知情时计算未来的验证码。

屏幕共享、群聊截图、远程协助录屏和随手上传的云盘照片都可能成为泄露途径。

仅使用自己信任的本地导入渠道

在 2FASync 中，扫描或选择本机支持的图片后先展示预览，并让用户确认要导入的 TOTP 项目。无须把敏感二维码提交到任意在线识码网站。

不要尝试用 HTML、SVG 或远程图片链接代替经过限制的本地图片导入。

怀疑泄露时更新网站绑定

如果 QR 已被他人看见，应前往发布该密钥的网站，检查已有的登录会话，并按其步骤移除原验证器重新注册。仅更换 2FASync 的显示名称无法替换旧密钥。

给支持人员反馈错误时用经过遮挡的文字说明，不附上真实迁移 QR 或 otpauth 字符串。

判断二维码是否可以公开的三个问题

先看二维码从哪里来：普通网页分享码通常用于跳转网址，但双重验证设置页的二维码可能包含生成长期动态码的秘密。两者在视觉上都是方格，无法只凭外观确认安全。

再看它能做什么：若扫入认证应用后立刻可以生成未来的验证码，就应把它当作秘密信息。图片存在自动同步的相册、群聊转发、视频会议录屏中，都可能形成额外副本。

最后看泄露后的动作：如果设置码已经被其他人获取，只在 2FASync 更换备注或者锁定当前页面并不会让源网站的密钥失效。应回到原服务重新生成验证器注册参数。