依原則與相容性選擇
伺服器與安全原則允許時，Ed25519 是有用的選擇。相容性或原則要求時使用 RSA 3072 或 4096。RSA 金鑰不等於舊 SHA-1 ssh-rsa 簽章；現代 RSA 可使用 SHA-2。不要全域重新啟用舊簽章。
在本機產生並保護私密金鑰
選擇一個產生指令及新檔名，不要覆寫現有金鑰。在提示時設定密碼片語。伺服器只應接收 .pub 檔案，私密金鑰留在用戶端。CH-J Key Generator 在 Beta 0.1.0 已可用。
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256安裝公開金鑰再測試
將完整公開金鑰以一行放入目標帳戶的 ~/.ssh/authorized_keys。Linux 上確認擁有者，通常 .ssh 權限為 700，authorized_keys 為 600。保持目前工作階段，在變更舊存取方式前測試第二次登入。使用者金鑰與伺服器主機金鑰用途不同。
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example