发送的是选中的 cookies，不是完整桌面

Orbit 面向主动选择的 cookies 数据。它不会把浏览历史、标签页内存、所有本地数据库、账号密码和下载文件一起打包，也不是持续运行的跨设备会话同步服务。发送成功后，另一台设备是否能继续某个网站的任务，还取决于该站点需要哪些其他状态，以及服务器是否接受这次会话。

准备发送时，先核对所属配置文件和域名范围，只选择完成任务需要的记录。不要因为工具允许选择全部，就默认把无关站点的会话一起交出。默认隐藏数值可以降低展示风险，但只要把数据交给接收方，对方就可能拥有这些记录代表的访问能力。加密传输不会缩小已授权交付的数据范围。

加密保护传递，接收链接仍需要保密

发送端在本地加密所选内容，服务端暂存加密后的数据；接收所需的密钥放在链接片段中，不作为普通请求路径交给服务器。接收流程仍要求 HTTPS。这里使用的认证加密能够检查密文是否被改动，但整个流程还依赖正确的端点、接收页面和可信的交接渠道。

因此，二维码和完整接收链接都应当被当成凭据。不要在公开演示中展示仍然有效的代码，也不要为了方便取用而上传到公共图片空间。浏览器页面、剪贴板和接收设备本身也需要可信。某个片段不会随普通 HTTP 请求发送，并不代表复制完整链接后它就不再敏感。

一次性与短时有效，不等于已经完成登录

当前接收代码的有效期为五分钟，并用于一次领取。界面显示代码已使用，表示服务器已经处理领取并交付相应密文；它不是接收者已经成功解密、导入或者登录网站的证明。收到资料后，接收者仍应在自己的授权测试环境中检查格式和实际使用结果。

如果还没有交付，应通过发送界面取消。连接丢失或响应未能返回时，应用未必能够确认服务器的最终状态，因此短时到期是必要的后备限制。取消不能从接收者手里收回已经取得的明文或文件，也不能撤销外部网站的会话。发送错对象时，应按网站提供的会话管理方式处理，而不是只反复刷新代码状态。

手机接收与 Safari 导入是不同步骤

手机可以打开 HTTPS 接收页面，完成允许的领取并得到可复制或下载的交换数据。这并不等于 iPhone Safari 自动安装了 cookies，更不等于把 Mac 的浏览器环境搬进了手机。目标工具是否支持导入、支持哪些字段，仍需要独立确认。没有合适接收工具时，不应把文件下载成功当作迁移完成。

建议在交接开始前就约定验收方式：接收哪几个站点的数据，使用哪种格式，由谁确认导入结果，以及何时清理临时文件。确认消息只需要说明完成情况，不需要回传 cookie 值或把整个文件再次上传。把验证结果写成不含秘密的简短记录，能够减少双方对“已经收到”的不同理解。

对于定期协作，优先考虑网站自身的成员与授权功能；只有确实需要这种数据交接时再使用 Orbit。它提供的是一个受限、明确的传递动作，不是跨越网站权限规则的通行证。保留最小范围、核实接收者并及时结束临时会话，才是把这个工具融入团队流程的关键。