次序才是關鍵
安全的做法是先替換，後移除。在動用舊通行金鑰之前，請確保帳戶已有另一個你此刻真正可用的登入途徑——可以是另一部你持有裝置上的不同通行金鑰，或另一個已登記的登入方法。先移除、後補加，正是令人無法登入的步驟。
Microsoft 直接闡述同一原則：
Microsoft 建議在移除仍需要的通行金鑰之前，先加入替代的登入資訊。來源
這句話就是整份指南的縮影。本文其餘部分，是關於如何在不必猜測選單位置的情況下套用這個原則。
人們稱為「通行金鑰」的三種東西
你 Microsoft 帳戶中的通行金鑰項目，與儲存在手機或手提電腦上的憑證並非同一物件。把這些層次分開，可避免大部分錯誤決定。
| 層次 | 它是甚麼 | 移除會影響甚麼 |
|---|---|---|
| 帳戶登記 | Microsoft 帳戶安全設定中列出的通行金鑰項目 | Microsoft 在登入時是否會提供該通行金鑰 |
| 裝置綁定儲存 | 存放於特定裝置上的憑證，例如安全金鑰或裝置綁定的通行金鑰 | 該裝置是否仍能完成當初登記的登入 |
| 同步憑證管理員 | 透過密碼管理員或平台鑰匙圈跨裝置同步的通行金鑰 | 登入同一管理員的其他裝置是否仍可使用它 |
因此，一個可見的通行金鑰，可以同時有帳戶端的記錄和裝置端的副本。刪除其中一個，不會自動清除另一個，這就是為何 Microsoft 對工作及學校帳戶將其視為兩個移除步驟。
對於工作或學校通行金鑰，Microsoft 指示要從 [安全性資訊] 及儲存該金鑰的位置移除。來源
對於個人帳戶，即使具體步驟有所不同，同樣的分層概念也是有用的思考模型。不要假設個人帳戶與工作或學校帳戶的行為完全相同；組織的政策可能加入本文未涵蓋的要求。
改動之前你可以看到甚麼
你不必盲目刪除才能知道自己有甚麼。這個儀表板的設計，就是讓你先行閱讀。
Microsoft 的安全儀表板會列出通行金鑰、其儲存位置及最後使用時間，並允許重新命名或移除它們。來源
儲存位置和最後使用時間這兩個欄位，是實際決策的依據。若某個通行金鑰最近仍在使用，而位置又對應你仍持有的裝置，在確認替代方案之前，大概值得保留。綁定於你已不再持有的裝置的通行金鑰，通常是替換的候選對象。
先替換的記錄表
請按次序逐項處理。每一行是一個檢查點，而非選單操作指示——你帳戶上的實際標籤可能不同，本文亦不主張某個特定的點擊路徑。
| 步驟 | 要回答的問題 | 可引用的證據 | 若……則停止 |
|---|---|---|---|
| 1. 盤點 | 列出了哪些通行金鑰及其他登入方法？ | 安全儀表板中的項目及其儲存位置 | 你無法看到完整清單 |
| 2. 找出倖存方法 | 哪個方法是你今天、在你手上的裝置上可用的？ | 你最近曾用它登入 | 所有列出的方法都依賴同一部裝置 |
| 3. 加入替代方案 | 新的通行金鑰或登入方法是否已登記並確認？ | 它出現在清單中，而你已用它完成一次登入 | 新項目尚未實際試用 |
| 4. 移除舊項目 | 舊通行金鑰是否已不再需要？ | 你已有步驟 3 中可用的替代方案 | 移除後只會剩下未經驗證的方法 |
| 5. 清除裝置副本 | 舊裝置或管理員上是否仍存有副本？ | Microsoft 對工作或學校通行金鑰的兩個位置指示 | 你不確定哪部裝置存有它 |
步驟 3 是大部分價值所在。僅以待處理提示形式存在的替代方案，還不算替代方案；在移除任何東西之前，先實際試用一次。
失敗路徑及其含義
你移除了通行金鑰，現在無法登入。 停止加入更多改動。使用帳戶仍有的其他方法，並將遺失的通行金鑰視為替換問題，而非重新登記問題。若已無任何方法剩下，復原取決於帳戶類型和已存檔的復原資料；本文無法承諾特定的復原途徑。
舊裝置已不在，但項目仍在。 這是普通的替換情況。先加入新方法、確認它，然後移除過時項目。不要假設日後可從同一裝置重新加入，而先行移除。
該通行金鑰屬工作或學校所有。 預期要多做一步。Microsoft 指示要同時從 [安全性資訊] 及儲存位置移除，意味着僅在帳戶端移除可能未完成工作，而組織政策也可能加入自身條件。
你不確定哪個憑證管理員存有同步副本。 在步驟 5 停一停。移除帳戶項目在某種意義上可逆，因為你可以重新登記，但找不到的同步副本，正是你在繼續之前應先確認其餘方法的原因。
儀表板顯示你不認識的通行金鑰。 不要一開始就刪除它。最近有不熟悉的登入，與通行金鑰的整理是兩個不同問題；在決定該項目是否屬於你之前，值得先查看登入活動。
這與其他檢查的關係
通行金鑰清理是一項狹窄的任務。如果你打開儀表板的原因是出現不熟悉的位置或預期之外的登入，單看通行金鑰清單並不能回答那個問題。先查看最近的登入活動，可讓你判斷某個不熟悉的通行金鑰項目，究竟是你忘記了的裝置，還是值得進一步細看的東西；關於這個獨立任務，請參閱在歸咎於不熟悉位置之前，先查看 Microsoft 登入活動。
如果你的關注更廣泛——例如某個舊用戶名稱是否仍連結到其他地方的公開個人檔案——那是另一類檢查。TraceSeek 是一款用戶名稱搜尋應用程式，涵蓋 3,000+ 個平台，根據產品說明，首次掃描免費，需時 20–30 秒。公開用戶名稱的匹配結果只是線索，並非證明同一人擁有該帳戶，因此應將結果視為供你自己核實的指向，而非確認。
可保存的簡短檢查清單
- 我已閱讀帳戶上所有通行金鑰及其他登入方法的完整清單。
- 我已記下每個通行金鑰的儲存位置及最後使用時間。
- 我至少有一個此刻可在持有裝置上使用的方法。
- 我已加入替代方案，並用它完成一次登入。
- 我只在上述步驟完成後，才移除舊的帳戶端項目。
- 若屬工作或學校通行金鑰，我亦已從其儲存位置清除。
- 我沒有假設個人政策與組織政策相同。
本文沒有告訴你的事
本文的編輯建議在於次序和檢查點。產品事實——儀表板列出甚麼、Microsoft 在移除前建議甚麼，以及工作及學校通行金鑰的兩個位置規則——均來自 Microsoft 本身的指引。本文沒有描述具體選單標籤，沒有聲稱測試過任何帳戶流程，亦不涵蓋在帳戶已無剩餘方法時的復原程序。若你的帳戶由組織管理，而組織的指示與本清單不同，請遵從組織的指示。