密码管理器最危险的捷径之一，是把账户登录、保险库解锁和备份仓库都交给同一个密码。一处泄露后，攻击者就可能沿着同一秘密进入其他边界。xypass 将这些用途分开，也建议用户不要主动把它们设置成相同值。

账户密码证明你是谁

本地账号密码或 OIDC 用于登录同步服务。它让服务器知道请求属于哪个账户，但不能直接解开保险库。为账户启用 MFA 可以降低登录凭据被盗后的风险，却不会替代保险库主密码。

保险库主密码只在设备上解密

主密码用于在已授权设备上解开条目和附件。它不会作为登录参数发送给同步服务。设备 PIN 或平台认证器只是帮助当前设备取回受保护的解锁材料；更换设备时仍需要主密码或预先准备的恢复方式。

备份密码保护服务器快照

自部署备份包含数据库、附件密文和运行配置，因此备份仓库还需要独立密码。即使保险库内容已经端到端加密，备份密码仍用于保护账号信息、配置、元数据和恢复材料。

用户应该保存哪些恢复材料

至少离线保存保险库恢复所需信息、账户 MFA 恢复码，以及自部署者需要的备份仓库凭据。不要把三者只放在同一个保险库里，也不要把恢复码发到聊天记录中。

分层不能让事故消失，但能缩小影响范围：账户密码泄露时先撤销会话并重设登录凭据；设备丢失时撤销设备；备份仓库泄露时轮换备份凭据。不同问题不再自动变成一次全面失守。