Passkeys: o que são, como funcionam e por que são mais seguras que senhas
Entenda como as passkeys permitem entrar sem senha, resistem a phishing e quais cuidados tomar com dispositivos, sincronização e recuperação.
Você abre um aplicativo, confirma sua identidade com a impressão digital, o rosto ou o PIN do aparelho e entra na conta sem digitar uma senha.
Essa experiência, que parece apenas uma forma mais rápida de login, utiliza uma mudança importante por trás da tela: as passkeys.
Uma passkey é uma credencial criptográfica criada para um site ou aplicativo específico.
Em vez de compartilhar um segredo que pode ser digitado, reutilizado ou roubado, ela usa um par de chaves.
A chave privada permanece protegida no dispositivo ou no provedor de credenciais; o serviço guarda somente a chave pública.
Isso torna o acesso mais simples e muito mais resistente a phishing. Porém, não significa que toda preocupação com segurança desapareceu.
Neste guia, você vai entender como as passkeys funcionam, o que acontece com sua biometria, como acessar em outro aparelho, quais cuidados tomar ao trocar de celular e quando ainda será necessário manter um método de recuperação.
O que são passkeys?
Passkeys são credenciais digitais usadas para entrar em sites e aplicativos sem digitar uma senha.
Em algumas interfaces em português, você também encontrará o nome “chave de acesso”.
A FIDO Alliance define uma passkey como uma credencial de autenticação baseada nos padrões FIDO.
O usuário aprova o acesso da mesma forma que desbloqueia o aparelho: com biometria, PIN, padrão ou outro mecanismo local.
A passkey pertence a uma conta em um serviço específico. Você não cria uma combinação de caracteres para memorizar e não reutiliza a mesma credencial em sites diferentes.
Cada relação entre usuário e serviço possui seu próprio material criptográfico.
Ela pode ficar sincronizada por um provedor de credenciais, como o gerenciador integrado ao sistema operacional ou um gerenciador de senhas compatível.
Também pode permanecer vinculada a um aparelho ou a uma chave física de segurança.
Como as passkeys funcionam
O funcionamento utiliza WebAuthn, uma API padronizada para autenticação com criptografia de chave pública.
A documentação da Web Authentication API na MDN explica que sites podem registrar e usar credenciais de chave pública para autenticação forte e sem senha.
O par de chaves criptográficas
Uma passkey é formada por duas partes matematicamente relacionadas:
- Chave privada: fica protegida pelo autenticador, que pode ser o celular, computador, gerenciador de credenciais ou chave física. Ela não é entregue ao site.
- Chave pública: é cadastrada no serviço e pode verificar assinaturas produzidas pela chave privada, mas não permite recriá-la.
Pense em um carimbo que somente seu dispositivo consegue produzir. O site guarda um molde capaz de verificar se o carimbo é legítimo, mas esse molde não consegue fabricar um novo carimbo.
Criação da passkey
Quando você escolhe “criar passkey” nas configurações de uma conta, o serviço solicita ao navegador ou aplicativo que crie uma nova credencial. O dispositivo pede sua confirmação local e gera o par de chaves.
O servidor recebe a chave pública, um identificador da credencial e os dados necessários para associá-la à conta. A chave privada permanece sob controle do autenticador.
Esse processo é o registro da credencial, diferente do processo de autorização que decide o que o usuário poderá fazer depois de entrar.
Login com desafio e assinatura
No login, o servidor envia um valor aleatório e de uso único, chamado desafio. Após você desbloquear a passkey no dispositivo, a chave privada assina esse desafio.
O servidor confere a assinatura com a chave pública cadastrada.
O desafio não pode ser reaproveitado como uma senha capturada. Além da assinatura, o servidor precisa validar informações como domínio de origem, identificador do serviço e presença ou verificação do usuário.
A especificação WebAuthn do W3C descreve essas cerimônias de registro e autenticação.
A biometria é enviada ao site?
Não. Sua impressão digital ou imagem facial não é enviada ao site para compor a passkey. A biometria é apenas uma das formas pelas quais o aparelho confirma localmente que você pode usar a chave privada.
O serviço recebe uma prova criptográfica de que a operação foi autorizada, não uma cópia do dado biométrico. Se você usa o PIN do aparelho em vez de biometria, a passkey continua funcionando pela mesma lógica: o método local libera o uso da credencial.
Essa distinção é importante. Passkey, impressão digital e reconhecimento facial não são sinônimos. Uma é a credencial usada com o serviço; os outros são mecanismos possíveis para desbloqueá-la no dispositivo.
Por que passkeys são mais seguras que senhas
O principal ganho está em remover o segredo compartilhado. Uma senha precisa ser conhecida pelo usuário e verificada pelo serviço.
Mesmo quando o servidor guarda apenas um hash, senhas fracas, reutilizadas ou expostas em vazamentos continuam criando riscos.
Com passkeys, o servidor armazena uma chave pública que não serve para entrar na conta. Um vazamento dessa base não entrega aos invasores a chave privada necessária para produzir uma assinatura válida.
Outra vantagem é a resistência a phishing. A credencial é vinculada ao domínio para o qual foi criada.
Uma página falsa pode imitar a aparência de um serviço, mas não consegue pedir ao autenticador que use a passkey pertencente ao domínio verdadeiro.
Isso reduz justamente o tipo de risco explicado no guia sobre como identificar e evitar phishing.
Passkeys também eliminam reutilização, listas de senhas previsíveis e digitação em ambientes observados.
Elas não precisam ser “fortes” por escolha humana: a segurança vem das chaves criptográficas geradas pelo sistema.
Passkey, senha e autenticação em duas etapas
| Método | O que o usuário faz | Risco de phishing | Principal cuidado |
|---|---|---|---|
| Senha | Digita um segredo | Alto quando inserida em página falsa | Criar uma senha única e protegê-la |
| Senha com código temporário | Digita senha e código | Menor, mas códigos ainda podem ser capturados | Proteger senha, aplicativo e recuperação |
| Passkey | Confirma o acesso no dispositivo | Muito baixo por vinculação ao domínio | Proteger dispositivos, provedor e recuperação |
A autenticação em duas etapas continua sendo importante onde passkeys não estão disponíveis.
Códigos gerados por aplicativo geralmente são melhores que depender apenas de senha, mas ainda podem ser digitados em uma página fraudulenta em tempo real.
Uma passkey com verificação do usuário pode reunir posse do autenticador e desbloqueio local em uma única experiência.
Isso não significa que todos os serviços abandonarão imediatamente senhas, códigos e processos adicionais.
Contas sensíveis podem exigir verificações complementares para recuperação ou operações de alto risco.
Passkeys sincronizadas e vinculadas ao dispositivo
Uma passkey sincronizada pode ficar disponível em vários aparelhos conectados ao mesmo provedor de credenciais. Isso facilita a troca de celular e o uso cotidiano em computador, tablet e telefone.
A sincronização costuma ser protegida por criptografia de ponta a ponta e pela segurança da conta do provedor.
Na prática, isso muda o ponto que merece atenção: proteger a conta que sincroniza as credenciais, manter dispositivos atualizados e configurar bons métodos de recuperação.
Já uma passkey vinculada ao dispositivo não é copiada para outros aparelhos. Chaves físicas de segurança e determinados ambientes corporativos usam essa abordagem para manter controle mais rígido.
A proteção aumenta em alguns cenários, mas exige cadastrar outra credencial ou manter um processo seguro caso o dispositivo seja perdido.
Como usar uma passkey na prática
Os nomes dos menus variam, mas o fluxo costuma ser simples:
- Entre normalmente na conta e abra as configurações de segurança.
- Procure por “passkey”, “chave de acesso” ou “login sem senha”.
- Escolha criar uma nova passkey e confirme sua identidade.
- Selecione onde a credencial será salva, quando o sistema oferecer opções.
- Conclua a verificação local com biometria, PIN ou chave física.
- Confira se a passkey aparece na lista de métodos cadastrados.
Antes de remover uma senha ou outro método, verifique como a conta trata recuperação e novos dispositivos.
Em uma adoção gradual, é sensato manter pelo menos uma alternativa segura até testar o acesso nos aparelhos que você realmente usa.
Como entrar em outro computador
Se a passkey já estiver sincronizada no mesmo ecossistema, ela poderá aparecer como opção no novo dispositivo após você entrar no provedor de credenciais.
Quando a credencial está no celular, muitos serviços permitem usá-la para autenticar em outro computador próximo.
O computador exibe uma opção de acesso por outro dispositivo, e o celular confirma a operação. Dependendo da plataforma, um código visual inicia o pareamento e a proximidade é verificada por Bluetooth.
A documentação do Google sobre uso entre dispositivos descreve esse fluxo como uma forma de entrar em diferentes sistemas sem transferir a chave privada para o computador usado.
Em um equipamento público ou emprestado, não salve uma nova passkey localmente. Use a opção de autenticar com seu próprio dispositivo, encerre a sessão e evite marcar o navegador como confiável.
O que acontece ao perder ou trocar o celular
Perder um dispositivo não significa automaticamente perder todas as passkeys. Credenciais sincronizadas podem reaparecer em um aparelho novo após a recuperação segura da conta do provedor.
Se a passkey também estiver disponível em outro dispositivo, esse aparelho pode ser usado para entrar e cadastrar uma nova opção.
O cenário é mais delicado quando existe apenas uma credencial vinculada ao dispositivo perdido.
Por isso, contas importantes devem ter uma estratégia de continuidade: segunda passkey, chave física reserva, dispositivo adicional ou processo de recuperação revisado.
Depois de perder ou vender um aparelho, remova a credencial correspondente nas configurações do serviço e também use os recursos do fabricante para bloquear ou apagar o dispositivo.
Revisar sessões abertas e dados de recuperação faz parte das boas práticas de privacidade e segurança digital.
Limitações e cuidados importantes
Passkeys resolvem problemas importantes das senhas, mas não transformam todo o sistema de identidade em algo invulnerável.
- Nem todos os serviços oferecem suporte: durante a transição, você continuará administrando senhas e diferentes formas de login.
- Ecossistemas podem não sincronizar diretamente: uma credencial disponível em aparelhos de um provedor pode não aparecer automaticamente em outro.
- A recuperação pode enfraquecer a conta: um fluxo baseado em perguntas fáceis, e-mail comprometido ou atendimento vulnerável pode contornar um login forte.
- O dispositivo ainda precisa de proteção: tela desbloqueada, PIN fraco, sessão do provedor exposta ou malware podem criar outros caminhos de ataque.
- Contas compartilhadas exigem planejamento: não é adequado distribuir a mesma credencial sem controle; cada pessoa deve ter identidade e acesso próprios quando possível.
Também é preciso diferenciar resistência a phishing de resistência a todo tipo de fraude.
Um criminoso ainda pode enganar alguém para aprovar uma operação dentro de uma sessão legítima, explorar a recuperação da conta ou obter acesso a um dispositivo já desbloqueado.
Vale a pena ativar passkeys?
Sim, especialmente em contas importantes e serviços nos quais você costuma entrar pelo celular ou computador pessoal.
A combinação de conveniência, credenciais únicas por serviço e resistência a páginas falsas representa uma melhoria real em relação à senha digitada.
A adoção deve ser consciente. Antes de depender exclusivamente de uma passkey, confirme onde ela está armazenada, quais dispositivos conseguem usá-la e como você recuperaria a conta sem o aparelho principal.
Se o serviço ainda exige senha, mantenha uma combinação longa e exclusiva, como explicado no guia sobre como criar senhas fortes. A passkey não protege uma senha de recuperação fraca que continue ativa na mesma conta.
Cuidados para quem implementa passkeys
Para desenvolvedores, WebAuthn não termina na chamada feita pelo navegador. O servidor precisa gerar desafios imprevisíveis, impedir reutilização, validar a origem, conferir o identificador da relying party, verificar a assinatura e associar corretamente a credencial ao usuário.
Use bibliotecas maduras em vez de implementar formatos e verificações criptográficas manualmente. O fluxo deve funcionar em HTTPS, oferecer nomes compreensíveis para os dispositivos e permitir listar, renomear e revogar credenciais.
A recuperação merece o mesmo rigor do login. Se alguém consegue substituir todas as passkeys apenas controlando um e-mail vulnerável, a segurança efetiva da conta será determinada por esse caminho alternativo.
Registre eventos importantes, avise sobre novas credenciais e permita encerrar sessões suspeitas.
Durante a migração, não obrigue o usuário a compreender termos técnicos.
Explique o benefício, mantenha uma convivência segura com os métodos anteriores e teste criação, login, troca de aparelho, múltiplas passkeys e recuperação.
Checklist de uso seguro
- Proteja celular e computador com bloqueio de tela forte.
- Ative proteção adicional na conta que sincroniza suas passkeys.
- Cadastre mais de uma opção de acesso para contas essenciais.
- Revise os métodos de recuperação antes de remover a senha.
- Remova passkeys de dispositivos perdidos, vendidos ou que não usa mais.
- Em computadores compartilhados, autentique com seu aparelho e não salve uma nova credencial.
- Mantenha sistemas, navegadores e gerenciadores de credenciais atualizados.
Perguntas frequentes
Passkey é o mesmo que impressão digital?
Não. A passkey é a credencial criptográfica. A impressão digital é apenas uma forma local de autorizar o dispositivo a usar essa credencial.
Passkey funciona sem internet?
A credencial pode estar disponível localmente, mas entrar em um serviço online normalmente exige conexão para que o servidor envie o desafio e valide a assinatura. Aplicações locais podem usar tecnologias relacionadas em fluxos próprios.
É possível ter mais de uma passkey por conta?
Sim, quando o serviço permite. Cadastrar passkeys em dispositivos ou provedores diferentes pode melhorar a continuidade do acesso e reduzir a dependência de um único aparelho.
Uma passkey pode ser roubada?
O modelo reduz muito o roubo remoto por phishing e vazamento de servidor, mas nenhum sistema é absoluto. Comprometimento do dispositivo, da conta de sincronização ou de um processo de recuperação pode ameaçar o acesso.
Passkeys substituem a autenticação em duas etapas?
Elas podem substituir senha e códigos em muitos logins, pois combinam posse da credencial com verificação local. Serviços podem manter etapas adicionais para recuperação ou ações sensíveis.
Posso usar passkey em um computador compartilhado?
Sim, usando a passkey do seu celular ou de uma chave física. Evite criar ou salvar uma credencial no computador compartilhado e sempre encerre a sessão ao terminar.
Como excluir uma passkey?
Remova-a nas configurações de segurança do serviço e, quando necessário, também no gerenciador de credenciais. Confirme antes que existe outra forma segura de entrar na conta.
Conclusão
Passkeys substituem um segredo que você precisa lembrar e digitar por uma prova criptográfica ligada ao serviço correto.
A chave privada não é entregue ao site, a biometria permanece no dispositivo e páginas falsas não conseguem usar a credencial criada para outro domínio.
Esse modelo oferece um avanço claro em conveniência e segurança, mas a adoção responsável inclui proteger os dispositivos, entender a sincronização e preparar uma recuperação que não dependa de um único aparelho.
Quando um serviço confiável oferecer passkeys, ativá-las costuma ser uma boa decisão — desde que você também confira como continuará acessando a conta se o dispositivo principal não estiver disponível.