常见问题

一、验证码

验证码是 6 位数字、10 分钟内有效、且只能使用一次。同一个邮箱在任何时刻只有一枚有效验证码。界面上的提示会明确区分下面几种情况——它们的处理方式完全不同，所以我们对每一种都单独说清楚：

提示「验证码不正确」

这枚码从来没有签发过：可能是输错了，或者你用的是另一个邮箱收到的码。对照邮件里的 6 位数字重新输入即可。注意这属于「猜错」，会计入失败次数。

提示「这枚验证码已经用过了」

说明刚才那一次校验其实已经成功了（同一枚码，用过之后再提交一次）。你大概率已经登录/注册成功，只是没注意到页面已经跳过去。重新获取一枚新的验证码继续即可——旧的不会复用。

提示「已被之后重新发送的验证码作废」

你手上拿的是上一封邮件。同一邮箱重新发送后，旧码会立刻作废。请用最新那封邮件里的验证码。这一条是我们专门加上去的提示：以前这种情况只会显示一句含糊的「无效」，用户只能盲试。

提示「验证码已过期」

超过 10 分钟了，重新获取一枚。

提示「该邮箱还没有待校验的验证码」

这个邮箱还没有点过「发送验证码」，或者之前那枚已经被用过/清理了。先点一次「发送验证码」。

点了「发送验证码」，但没收到新邮件

先看界面提示：如果它说「已有一枚仍有效的验证码（还有约 N 分钟），本次没有重发邮件」，那是刻意的——同一邮箱同一时间只保留一枚有效码，冷却时间内重复点击不会产生第二封邮件（这正是在修掉「手上有两封邮件、用了旧的那封」这类问题）。请直接查看之前那封邮件；界面会同时告诉你还有多久可以要求重发。

如果提示是「验证码邮件暂时发不出去（我们这边的发送通道出了问题）」，那是我们这边的问题，不是你的账号有问题，稍后重试即可。

提示账号被锁定

连续输错验证码 5 次会锁定该邮箱 15 分钟，界面会告诉你解锁时间。两点值得知道：

• 只有「输错」和「从未签发过的码」才计入失败次数；拿着旧邮件反复重试不会把你锁住——那是在等一枚已经作废的码，不是爆破。
• 注册与登录共用同一枚邮箱验证码，因此注册时用掉的码不能再去登录页用第二次。

二、登录与页面

登录似乎成功了，但页面没反应 / 一直在转

按顺序做这五件事，基本能定位：

1. 先确认控制台本身活着。在浏览器里直接打开 https://console.sclink.dev/healthz：正常会返回一小段 JSON（status 为 ok）。这一步看到的是「服务是否可达」，如果这里就不对，问题不在你的账号上，请联系我们。
2. 强制刷新一次（Windows/Linux 用 Ctrl+Shift+R，macOS 用 Cmd+Shift+R）。控制台是单页应用，浏览器缓存了旧资源时会停在「看起来登录了但点不动」的状态。
3. 换成无痕窗口再试一次。这一步能排除浏览器扩展（广告/隐私拦截插件最常见）和本地存储状态的影响——主题、会话这些都在浏览器本地。
4. 确认浏览器启用了 JavaScript。控制台完全依赖脚本渲染，禁用 JS 只会得到一片空白。
5. 确认地址栏就是 https://console.sclink.dev，不要用 IP 或别的域名访问——会话是按站点隔离的，换一个来源等于换了一份空会话。

五步都做过仍然没反应，请把「你点的是什么、界面显示了什么（或完全没反应）、大致时间、浏览器与版本」一起发到 [email protected]。带上时间我们能直接定位那一次请求。

要不要记密码？

不需要，也没有密码可记：登录只有邮箱验证码一种方式。因此也不存在「忘记密码」流程。

登录状态会持续多久？

会话长期有效但会轮换：访问令牌有效期 2 小时，客户端会用它自动换取新的访问令牌（刷新凭据 7 天）。长时间没打开控制台后需要重新收一次验证码，属于正常。

三、连不上内网

按这个顺序查，每一步都能把范围砍掉一半。不要一上来就改客户端配置。

第 1 步：设备是「已批准」吗

如果还是待批准，它连不上任何东西——这是设计如此。批准需要管理员在浏览器里签名，所以请确认操作的人手上就是那份授权密钥。

第 2 步：Agent 在线吗

Agent 离线，设备就没有可用的隧道配置。到内网那台机器上看服务状态：

# Linux
systemctl status securelink-agent
journalctl -u securelink-agent --since "30 min ago"

# Windows：在 services.msc 里看服务状态，或
sc query SecureLinkAgent

Agent 起不来的常见原因是安装时环境变量没带进去——如果你用了 sudo 而漏了 -E，服务会「装好了但连不上控制面」。重新用 sudo -E securelink-agent install 安装一次即可，详见安装 Agent。

第 3 步：端点协商成功了吗

如果界面提示「打洞辅助服务不可用（无法完成端点协商）」，含义是：Agent 还没有上报一个可达的服务端地址。我们不会给你一个编出来的地址，所以这里会明确报错而不是让你连上一个不存在的地方。检查两件事：

• 路由器上是否把 wg-server 的 UDP 端口映射到了内网那台机器（UDP，不是 TCP）；
• 那台机器能否出网访问端点发现服务（很多企业网络只放行 443/TCP）。

第 4 步：界面说「当前网络环境暂不支持」

这意味着你的出口是对称 NAT，或者根本没有做端口映射：没有任何设备能直达的端点，隧道建立不起来。我们不提供流量转发兜底（一旦转发，我们就能看到你的数据了）。可行的替代是自备公网端点后改用直连模式。

第 5 步：别的都对，就是不通

• 在官方 WireGuard 客户端里看「最新握手」这一行：一直不刷新，说明包到不了对端（端点地址/端口/防火墙问题）；能刷新但访问不到内网服务，说明隧道通了、但路由或内网服务本身有问题。
• 确认客户端里导入的是最近一次生成的配置。设备重新添加或重新批准后，旧配置就作废了。
• 确认设备没有被吊销、成员没有被停用。
• 确认租户没有被冻结：冻结态下 Agent 会切断现有路由，只保留解冻指令的通道，恢复必须由管理员签名解冻。

四、设备与 Agent

换了电脑或手机，要做什么？

重新添加一台设备并批准一次。设备的密钥对是在浏览器本地生成的，私钥从不离开生成它的那台设备/浏览器，所以旧设备的配置无法「迁移」过去——这是「私钥不上传」的直接代价。

重装了浏览器，之前批过的设备还能用吗？

已经批准并导入到 WireGuard 客户端的设备不受影响，照常连接。受影响的是批准新设备的能力：授权私钥存在浏览器本地，清了浏览器数据就没了，需要重建授权。所以请按界面提示做好助记词备份。

批准之后多久生效？吊销之后多久断开？

都取决于 Agent 的状态同步周期，默认 30 秒内。控制台里显示的「已下发」与「已生效」是两个不同的东西：后者以 Agent 的回报为准。

Agent 支持哪些系统？

Linux（systemd）与 Windows 服务两种形态；macOS 不能作为 Agent 主机。成员设备则可以用 macOS、Windows、iOS、Android、Linux 上的官方 WireGuard 客户端。

注册 Token 过期了怎么办？

重新生成一枚。注册 Token 默认 24 小时有效、默认只能使用一次；已注册成功的 Agent 用证书维持连接，不受 Token 过期影响。

五、其他

能穿透任何网络吗？

不能。打洞辅助解决的是「已做端口映射、但公网 IP 会变」这个最常见的情况。我们不会承诺「不需要公网 IP、不需要端口映射、任何网络都能穿透」——那需要平台承接业务流量，我们明确不做。

你们能看到我的数据吗？

看不到。业务报文（含密文）不经过我们的任何组件，我们也没有对业务流量的字节计数。详见安全说明与隐私政策。

现在收费吗？

不收费，也不采集任何支付信息。规则见价格政策。

公司/团队能用吗，有合规资质吗？

产品定位是个人开发者与小团队（< 50 人），成员管理、设备审批、审计导出都有。但等保三级、密评与私有化部署都尚未提供——如果你的场景强制要求这些，请先联系我们沟通，不要直接用在合规要求上。

还是解决不了

写信到 [email protected]，带上：租户名称、涉及设备的名称、大致时间、界面上的原文提示。请不要附上任何私钥、助记词或注册 Token——我们永远不需要它们。