企业发下去的密码工具半年就没人用，Dashlane 想用强制登录补上这个缺口

几周前，X 上有一篇关于密码管理的帖子传得挺广。帖子的意思是：一本纸质密码本，比大多数人愿意承认的要安全——想黑掉一张纸并不容易，没人会「零日攻击」你家书架上的本子；真有人费那么大劲把它偷走，你要担心的也不止是某个账号泄露了。

这话有几分道理，但它也点出了一个尴尬的现实：企业花大价钱部署的密码管理工具，很多最终并没有被用起来。密码管理厂商 Dashlane 最近上线了一个新方案，专门冲着这个问题去。

先说说「采纳鸿沟」

Dashlane 把它称为 adoption gap，翻译过来就是「采纳鸿沟」。流程大致是这样的：IT 团队挑好并部署了密码工具，发出一封引导邮件，第一个月使用率还不错；半年之后，员工又回到了手动往表单里敲密码——因为没有任何东西真正要求他们去用它。

这不是工具不好用的问题，而是「没有强制力」的问题。工具摆在那里，用不用全凭自觉；而自觉在忙碌的日常工作里，往往最先被丢掉。安全控制的尴尬就在这儿：一个被绕过去的控制，等于不存在。

Vault Enforcement 怎么「强制」

Dashlane 的新功能叫 Vault Enforcement。做法是通过策略下发的浏览器扩展，让 IT 管理员可以要求员工在指定域名上必须通过 Dashlane 登录。员工第一天访问被强制的域名时，会看到一个提示卡片；到了第二天，如果还没登录密码库，该域名上的登录表单就会被直接拦下。

细节上，管理员可以往那张提示卡片里放公司 logo 和 IT 服务台的联系方式——这算是个务实的设计，把「为什么突然登不上」的抱怨先引导到该去的地方，而不是让员工自己猜。

SSO 的缺口比想象中大

为什么还得靠密码工具？因为单一登录（SSO）并没有覆盖全部应用。Dashlane 给出的数字是：37% 的企业应用不归 SSO 管理。也就是说，超过三分之一的应用面，仍然只靠一组用户名加密码挡在前面，后面没有别的安全层。

Dashlane 还列出了自动填充密码最频繁的业务应用：Salesforce、DocuSign、Adobe、Zoom、GitHub、Dropbox、Box 和 Atlassian。这些恰恰是企业日常最核心的一批 SaaS 工具。

拖后腿的原因有两个。一个是「SSO 税」——有些厂商把支持 SSO 当成高级功能单独收费，中小公司未必愿意为它加钱；另一个是历史遗留：一些多年前就已接入 SSO 的应用，旧密码居然还能继续用，没人去把它关掉。

Passkey 很好，但依然让人困惑

按理说，比密码更好的方案已经存在了。Passkey（通行密钥）能从根本上解决钓鱼问题，这是密码做不到的；在苹果设备上的实现也已经相当简单。

但作者提到一个细节：他带过足够多用户走完第一次设置 Passkey 的流程，所以很清楚「它到底存在哪、手机丢了怎么办」这类问题，至今很难用一句让人听懂的话回答。随便问一个非技术岗的同事，他的通行密钥是在 iCloud 钥匙串里、在密码管理器里，还是就在这台设备上——答案大概率是含糊的。

这种困惑是有代价的。不理解一个安全工具的用户，会想办法绕开它；而被绕开的控制，就不算控制。Vault Enforcement 的思路，正是从另一端来解决：不再指望用户理解，而是直接要求。

强制，是不是唯一的路

作者的态度挺坦白：Vault Enforcement 是个聪明的功能，他希望别的密码管理器也抄。但同时，它也等于承认了一件事——十多年的用户教育并没有把这道鸿沟填上，到最后只能从「劝」改成「要求」。

这个判断放到苹果生态里同样成立。本站此前写过 macOS 的一处相关变化：苹果在 Tahoe 26.4 里悄悄堵掉了登录钥匙串的跨机复制（见本站此前报道：macOS 堵掉钥匙串跨机复制），出发点同样是安全，但用户的第一反应往往是「怎么突然不行了」。

安全与顺手之间的拉扯，可能永远是 IT 管理最难的一课。作者在结尾写的这句话值得抄下来：好的 IT 安全，必须比绕开它更省事；在做到这一点之前，我们只能不断造出「强制工具」来补差。

现状与适用范围

需要说明的是，这属于面向企业 IT 的产品动态，跟普通消费者关系不大。Vault Enforcement 目前处于开放测试阶段，面向使用 Dashlane Omnix Enterprise 方案、并以 Chrome 或 Edge 为主的公司，扩展通过策略部署，且需要已启用 SSO。

另外，这篇文章出自「Apple @ Work」栏目，该栏目由一家 Apple 设备管理平台赞助。对文中涉及赞助方与 Dashlane 的评价，读者可以自行打个折扣——但「采纳鸿沟」这个现象本身，确实是很多企业 IT 都会遇到的真实问题。