watchOS 的系統保安
Apple Watch 使用許多 iOS 和 iPadOS 所用的相同硬件式平台保安功能。例如，Apple Watch 會：
執行安全啟動和保安軟件更新
維持作業系統完整性
協助保護裝置上的資料，以及在與配對的 iPhone 和互聯網通訊時保護資料
支援的技術包含「系統保安」中列出的項目（例如 KIP、SKP 和 SCIP）以及「資料保護」、鑰匙圈和網絡技術。
更新 watchOS
watchOS 可以設定為隔夜更新。如需深入了解系統如何在更新期間儲存和使用 Apple Watch 密碼，請參閲：Keybag。
手腕偵測
如果已開啟手腕偵測，在用户將手錶從手腕取下後會於短時間內自動鎖定裝置。如果已關閉手腕偵測，控制中心會提供鎖定 Apple Watch 的選項。在 Apple Watch 鎖定時，用户只能透過在 Apple Watch 上輸入密碼才能使用 Apple Pay。用户可以在 iPhone 上的 Watch App 中關閉手腕偵測。此設定也可使用裝置管理服務來強制執行。
啟用鎖
在 iPhone 開啟「尋找」後，其配對的 Apple Watch 也會使用「啟用鎖」。「啟用鎖」可讓 Apple Watch 在遺失或遭竊時無法由其他人輕易使用或銷售。「啟用鎖」需要用户的 Apple 帳户和密碼才能取消配對、清除或重新啟用 Apple Watch。如需更多資料，請前往：啟用鎖保安。
與 iPhone 安全配對
Apple Watch 一次只能與一部 iPhone 配對。當 Apple Watch 取消配對時，iPhone 會傳遞指令來清除手錶上的所有內容和設定。
Apple Watch 與 iPhone 的配對保安是透過 Apple Watch 顯示的動畫圖案中所編碼的密鑰來保障，該圖案會由 iPhone 相機拍攝。如有需要，亦可使用六位數 PIN 作為備用配對方法。密鑰或 PIN 的使用方式視乎 Apple Watch 和 iPhone 上執行的作業系統版本而定。
當安裝 watchOS 26 或較新版本的 Apple Watch 與安裝 iOS 26 或較新版本的 iPhone 配對時，系統會透過安全的 IKEv2 連線交換密鑰來執行配對。此連線可透過兩種方式進行認證：使用以動畫圖案中所編碼的密鑰來使用標準 PSK 認證，或者使用由 SPAKE2+ 從 PIN 衍生出的連線專屬密鑰。除了橢圓曲線 Diffie-Hellman 提供的保安外，系統亦使用 ML-KEM-1024 以提供量子保安。
建立連線後，每部裝置會產生一個隨機的 Ed25519 公用-專用密鑰配對，並交換公用密鑰。專用密鑰會以 Apple Watch 上的「安全隔離區」為根。iPhone 無法這樣做，因為用户將「iCloud 備份」還原至同一部 iPhone 時會保留現有的 Apple Watch 配對，不需要進行轉移。各裝置亦會產生和交換 BLE 4.1 頻外配對的密鑰。
當 Apple Watch 和 iPhone 執行較舊的軟件版本時，動畫圖案中的密鑰會用於 BLE 4.1 頻外配對，而六位數 PIN 則會用於標準 BLE 通行密匙輸入配對。一旦建立 BLE 階段作業並使用「藍牙核心規格」提供的最高層級安全通信協定加密後，iPhone 和 Apple Watch 會使用以下任何一項來交換密鑰：
改寫自 Apple 識別服務（IDS）的程序，如 iMessage 保安概覽中所述。
使用 IKEv2/IPSec 的密鑰交換。初始密鑰交換使用藍牙階段作業密鑰（用於配對情境）或 IDS 密鑰（用於作業系統更新情境）進行認證。每部裝置會產生 Ed25519 公用-專用密鑰配對，並且在初始密鑰交換過程中交換公用密鑰。當安裝 watchOS 10 或較新版本的 Apple Watch 初次配對時，專用密鑰會以其「安全隔離區」為根。
在安裝 iOS 17 或較新版本的 iPhone 上，專用密鑰不會以「安全隔離區」為根，因為用户會將「iCloud 備份」還原到保留現有 Apple Watch 配對的相同 iPhone 上，不需要進行移轉。
附註：用於密鑰交換和加密的機制會有所改變，這取決於 iPhone 和 Apple Watch 上的作業系統版本。與安裝 watchOS 6 或較新版本的 Apple Watch 配對時，安裝 iOS 13 或較新版本的 iPhone 只會使用 IKEv2/IPSec 進行密鑰交換和加密。
在密鑰交換後：
藍牙階段作業密鑰會被捨棄，iPhone 和 Apple Watch 之間的所有通訊都使用上述方法之一進行了加密，如加密的藍牙、Wi-Fi 和提供了輔助加密層的流動數據連結。
BLE 裝置的地址亦會在每 15 分鐘輪換，以減少他人使用持續性識別碼廣播在本機追蹤裝置的風險。
（僅 IKEv2/IPsec）這些密鑰儲存在系統鑰匙圈中，並用於認證裝置之間未來的 IKEv2/IPsec 階段作業。裝置間的加密取決於硬件和作業系統：
安裝 iOS 26 或較新版本的 iPhone 與安裝 watchOS 26 或較新版本的 Apple Watch 配對時，除了橢圓曲線 Diffie-Hellman 提供的保安外，亦會利用 ML-KEM-768 以提供量子保安。
安裝 iOS 15 或較新版本的 iPhone 與安裝 watchOS 8 或較新版本的 Apple Watch Series 4 或較新型號配對時，會使用 AES-256-GCM 進行加密和完整性保護。
安裝較舊作業系統版本的較舊裝置會使用配搭 256 位元密鑰的 ChaCha20-Poly1305。
為了支援需要串流資料的 App，會使用 FaceTime 保安中提到的方式來提供加密，過程中會使用由已配對的 iPhone 或直接互聯網連線提供的 Apple 識別服務（IDS）。
Apple Watch 採用硬件加密儲存體並根據類別保護檔案和鑰匙圈項目。也會一併使用鑰匙圈項目的存取控制 Keybag。Apple Watch 與 iPhone 間通訊所使用的密鑰也會利用類別式保護來確保其保安。如需更多資料，請前往：「資料保護」的 Keybag。
使用 Apple Watch 在 macOS 中進行核准
啟用了以 Apple Watch 自動解鎖後，Apple Watch 可單獨使用或配搭 Touch ID 使用，以核准來自以下項目的授權和認證提示：
要求授權的 macOS 和 Apple App
要求認證的第三方 App
儲存的 Safari 密碼
安全備註
安全使用 Wi-Fi、流動網絡、iCloud 和 Gmail
當 Apple Watch 不在藍牙範圍內時，可改為使用 Wi-Fi 或流動網絡。Apple Watch 會自動加入其配對 iPhone 已加入過的 Wi-Fi 網絡（網絡的憑證必須在兩部裝置都位於連線範圍內時同步至 Apple Watch）。接着在 Apple Watch 上，便可於「設定」App 的 Wi-Fi 部份中設定個別網絡的「自動加入」動作。如為先前未於 iPhone 或 Apple Watch 上加入過的 Wi-Fi 網絡，可在 Apple Watch 上於「設定」App 的 Wi-Fi 部份手動加入。
當 Apple Watch 和 iPhone 在範圍外時，Apple Watch 會直接連接到 iCloud 和 Gmail 伺服器以截取郵件，而不是透過互聯網與配對的 iPhone 同步郵件資料。針對 Gmail 帳户，用户必須在 iPhone 上 Watch App 的「郵件」部份中向 Google 認證。從 Google 接收的 OAuth 代號會透過 Apple 識別服務（IDS）以加密格式傳送到 Apple Watch，即可用來截取郵件。此 OAuth 代號絕不會用來從配對的 iPhone 連接到 Gmail 伺服器。