Passkeys: como trocar senhas sem perder suas contas

Resposta curta: passkeys são, hoje, a troca mais prática para reduzir o risco de roubo de senha e phishing. Em vez de digitar um segredo que pode ser copiado, você confirma o acesso com o desbloqueio do seu aparelho — PIN, impressão digital ou reconhecimento facial. Para adotar sem ficar trancado para fora, comece pelas contas essenciais, mantenha métodos de recuperação revisados e cadastre uma segunda forma de acesso antes de abandonar a senha.

Este guia explica o que muda, o que não muda e como fazer uma migração segura em poucos passos. A ideia não é declarar a senha morta, mas mostrar onde a passkey já é uma escolha melhor — e onde vale colocar uma chave física no meio do caminho.

O que é uma passkey, sem o marketing

Uma passkey é uma credencial baseada nos padrões FIDO e WebAuthn. Ao cadastrá-la, o dispositivo cria um par de chaves criptográficas para aquele serviço: a chave pública fica com o site; a chave privada permanece sob controle do autenticador — no aparelho, em uma chave física ou, quando há sincronização, protegida pelo provedor de credenciais.

No login, o site envia um desafio. Seu dispositivo o assina depois que você autoriza a operação localmente. A chave privada não é enviada ao site, e a biometria usada para desbloqueá-la também não sai do aparelho. O servidor recebe apenas a prova criptográfica necessária para validar o acesso.

Por que isso dificulta phishing

Uma senha pode ser digitada em uma página falsa. Uma passkey WebAuthn é vinculada ao domínio para o qual foi criada. Um site impostor não consegue pedir ao autenticador uma assinatura válida para o domínio verdadeiro. É por isso que o NIST classifica o vínculo ao nome do verificador, usado pelo WebAuthn, como um método de resistência a phishing.

Isso não elimina todos os golpes: criminosos ainda podem explorar recuperação de conta, sessões já abertas, malware no dispositivo e atendimento ao cliente. Mas remove do caminho um dos alvos mais fáceis — o segredo reutilizável que a vítima pode entregar. Para reconhecer abordagens cada vez mais convincentes, vale complementar este guia com como identificar golpes que usam IA.

O PIN ou a biometria viram minha senha?

Não. O PIN, o rosto ou a digital desbloqueiam a credencial localmente; não são enviados ao serviço como substitutos da senha. Na prática, o site recebe uma assinatura feita pela chave privada após a verificação do usuário.

Essa distinção importa. Um vazamento no site pode expor chaves públicas, mas elas não servem para produzir as assinaturas privadas necessárias ao login. Ainda assim, a segurança final depende do bloqueio do dispositivo, da proteção da conta que sincroniza as passkeys e do processo de recuperação do serviço.

Passkey sincronizada ou vinculada a um dispositivo?

Passkey sincronizada

É copiada de forma protegida entre aparelhos ligados ao mesmo provedor de credenciais. A vantagem é a conveniência: trocar de celular ou usar outro computador tende a ser simples. A desvantagem é concentrar parte da recuperação na conta do provedor. O NIST recomenda proteger a infraestrutura de sincronização com controles equivalentes a autenticação multifator e manter as chaves cifradas.

Passkey vinculada ao dispositivo

Permanece em um único autenticador, como uma chave física de segurança ou um dispositivo corporativo. Reduz a exposição à sincronização, mas exige planejamento: se o autenticador for perdido e não houver outro cadastrado, será preciso recorrer ao fluxo de recuperação da conta.

Análise: para a maioria das contas pessoais, a passkey sincronizada oferece o melhor equilíbrio entre segurança e praticidade. Para contas administrativas, profissionais ou de alto impacto, duas chaves físicas ou uma combinação de autenticadores independentes pode ser mais apropriada. O modelo certo depende do custo de ficar sem acesso e do dano possível em caso de invasão.

Vale a pena comprar uma chave de segurança física?

Uma chave de segurança é um dispositivo do tamanho de um chaveiro que guarda credenciais FIDO2 e as libera quando você o toca. Ela não depende de bateria, de sinal de celular nem da conta de nenhuma nuvem — e é o autenticador mais difícil de comprometer remotamente que existe hoje para uso pessoal.

O que ela resolve que o celular não resolve

• Independência da nuvem. Se a conta que sincroniza suas passkeys for comprometida ou suspensa, a chave física continua funcionando.
• Resistência a malware. A chave privada nunca sai do dispositivo, e nenhum programa no computador consegue extraí-la.
• Rota de recuperação real. É a segunda credencial que salva você quando o celular quebra, é roubado ou trava numa atualização.
• Presença física obrigatória. Ninguém entra na sua conta do outro lado do mundo sem tocar naquele pedaço de plástico.

Como escolher: os quatro critérios que importam

Na prática, as opções mais fáceis de encontrar no Brasil vêm da Yubico. A linha YubiKey Security Key faz só FIDO2 e U2F, custa bem menos e resolve o caso de quem quer apenas passkeys e login sem senha. A YubiKey 5 acrescenta OTP, cartão inteligente e OpenPGP — útil para quem trabalha com certificados ou assinatura de código, dispensável para o resto das pessoas. Marcas como Token2 e Thetis aparecem como alternativas mais baratas; confira se o modelo é certificado FIDO2 antes de comprar.

Compre duas, não uma

Esta é a única recomendação inegociável desta seção. Uma chave única é um ponto de falha perfeito: se você perder, o efeito é o mesmo de perder a senha e os códigos ao mesmo tempo. O padrão adotado por quem trabalha com segurança é simples: cadastre duas chaves em cada conta importante, use uma no dia a dia e guarde a outra em outro endereço — gaveta trancada, casa de familiar, cofre. É o mesmo raciocínio da cópia de backup fora do local, aplicado a credenciais.

Quando não vale a pena

Se você ainda repete senhas, não usa gerenciador e nunca conferiu os métodos de recuperação das suas contas, uma chave física não é o próximo passo — é uma compra que adia o básico. Comece por senhas únicas, autenticação em dois fatores e um plano de recuperação escrito. A chave entra depois, como reforço, não como atalho.

Como migrar sem perder acesso

1. Proteja primeiro o chaveiro das chaves

Comece pela conta que controla seu ecossistema — por exemplo, a conta do sistema operacional ou do gerenciador de credenciais. Use bloqueio de tela forte, ative as proteções de recuperação disponíveis e confira quais dispositivos permanecem conectados. As boas práticas básicas de segurança da informação continuam valendo: atualizações, backups e atenção a sessões desconhecidas não deixam de ser importantes.

2. Faça um inventário curto

Priorize e-mail principal, gerenciador de senhas, armazenamento em nuvem, redes sociais e contas financeiras. Procure em Segurança, Login ou Autenticação pela opção de criar uma passkey. Não tente migrar dezenas de contas de uma vez.

3. Cadastre uma segunda rota confiável

Antes de remover qualquer senha, teste o login em outro navegador ou dispositivo. Quando o serviço permitir, registre uma segunda passkey em outro aparelho ou chave física. Guarde códigos de recuperação em local separado e protegido. Evite depender apenas do celular que você leva para a rua.

4. Revise o que o serviço ainda aceita

Adicionar uma passkey nem sempre desativa a senha, o SMS ou outros meios antigos. No Google, por exemplo, criar uma passkey não remove automaticamente os fatores de autenticação e recuperação existentes. Entre na área de segurança, remova dispositivos que você não reconhece e avalie quais métodos legados ainda são necessários.

5. Documente a recuperação

Anote onde as passkeys estão armazenadas, quais dispositivos têm acesso e como recuperar cada conta. Não registre chaves privadas — elas não devem ficar visíveis —, apenas o mapa operacional. Ao escolher um provedor, confira como ele trata sincronização, exclusão e recuperação; o hábito de ler as partes relevantes de políticas de privacidade ajuda a identificar essas condições.

Checklist antes de confiar na passkey

• O dispositivo tem PIN ou senha de bloqueio forte e está atualizado?
• A conta do provedor de passkeys usa autenticação forte?
• Existe uma segunda passkey ou um método de recuperação testado?
• Os códigos de recuperação estão fora do aparelho principal?
• Você sabe como revogar a credencial se perder um dispositivo?
• O serviço ainda permite login com senha ou SMS sem necessidade?

O que está verificado, o que é análise e o que é opinião

Fatos verificados

• Passkeys são credenciais FIDO baseadas em pares de chaves criptográficas e podem ser sincronizadas ou vinculadas a um dispositivo.
• O WebAuthn limita cada credencial ao serviço ou domínio correspondente, característica que sustenta sua resistência a phishing.
• A biometria usada para autorizar o login permanece no dispositivo; o serviço recebe a confirmação da operação, não a digital ou o rosto.
• Autenticadores sincronizáveis trazem benefícios de recuperação e uso entre dispositivos, mas também riscos próprios da infraestrutura de sincronização e recuperação.

Análise

A migração mais segura não é apagar todas as senhas no primeiro dia. É reduzir gradualmente a dependência delas, testar caminhos alternativos e concentrar a adoção nas contas que destravam as demais. A maior melhoria vem da resistência a phishing; o maior risco operacional vem de uma recuperação mal planejada.

Opinião editorial

Se um serviço confiável oferece passkey e deixa claro como revogá-la e recuperar a conta, vale ativar. Eu começaria pelo e-mail principal e pelo gerenciador de credenciais, manteria uma alternativa independente e só depois avaliaria a remoção da senha. Conveniência sem plano de recuperação é apenas outro tipo de fragilidade.

Perguntas frequentes

Passkey substitui a autenticação em dois fatores?

Pode substituir fluxos como senha mais código em alguns serviços, porque combina posse do autenticador com verificação local quando esta é exigida. A configuração do serviço determina a garantia efetiva. Não presuma que toda implementação funciona da mesma forma.

Se roubarem meu celular, entram nas minhas contas?

O bloqueio do aparelho ainda precisa ser vencido. Por isso, PIN forte, biometria, localização remota, atualização do sistema e revogação rápida continuam essenciais. Um aparelho desbloqueado ou uma recuperação de conta fraca pode anular parte do benefício.

Devo apagar minhas senhas agora?

Não de imediato. Primeiro confirme que a passkey funciona em mais de um cenário e que há recuperação confiável. Alguns serviços ainda mantêm a senha ativa; outros permitem um modo realmente sem senha.

Perdi a única chave de segurança que tinha. E agora?

Você depende do que preparou antes: outra passkey cadastrada, códigos de recuperação guardados ou um fluxo de recuperação do serviço. Se nada disso existe, o caminho é o suporte do serviço, que nem sempre consegue ajudar. Por isso a regra de cadastrar duas chaves não é exagero de especialista.

Posso usar passkeys sem depender de Google ou Apple?

Sim. Gerenciadores de senhas independentes armazenam e sincronizam passkeys, e chaves físicas as guardam sem qualquer nuvem no meio. A escolha muda quem detém a infraestrutura de recuperação — e essa é justamente a decisão que vale pensar com calma.

Passkey funciona sem internet?

A assinatura acontece localmente, mas o login precisa alcançar o serviço. Na prática, você continua precisando de conexão para entrar em um site — o que a passkey elimina é a dependência de receber um SMS ou de um aplicativo gerar um código na hora certa.

Uma chave física pode ser clonada?

O desenho do padrão impede a extração da chave privada pelo uso normal do dispositivo. O risco realista para uma pessoa comum não é a clonagem, e sim a perda física — que é exatamente o problema resolvido por manter uma segunda chave cadastrada.

Referências

1. FIDO Alliance — Passkeys — fidoalliance.org/passkeys-2
2. NIST Special Publication 800-63B — Authentication and Authenticator Management — pages.nist.gov/800-63-4/sp800-63b.html
3. W3C — Web Authentication: An API for accessing Public Key Credentials, Level 3 — w3.org/TR/webauthn-3
4. Google Account Help — Sign in with a passkey instead of a password — support.google.com/accounts/answer/13548313

Nota de transparência: este texto foi produzido com assistência de inteligência artificial e passou por revisão editorial humana antes da publicação.