O que é passkey: chave de acesso sem senha

passkey (chave de acesso) é uma credencial de autenticação sem senha baseada em criptografia de chave pública. O autenticador do dispositivo guarda a chave privada e o site guarda só a chave pública. No login, o aparelho assina um desafio do servidor e prova a posse da chave sem enviar um segredo compartilhado reutilizável em outro domínio.

Você abre o e-mail, o banco ou a loja e o navegador oferece entrar com chave de acesso. Em vez de digitar a senha que você reutiliza em três sites, o celular pede impressão digital ou PIN local e libera o acesso. A experiência parece mágica, porém o mecanismo é engenharia de identidade, não um atalho de marketing.

O leitor comum chega com três dúvidas ao mesmo tempo. Vale confiar no desbloqueio do aparelho. O que acontece se o telefone for perdido. Como isso se compara ao código do SMS ou ao aplicativo autenticador. Este guia responde essas perguntas com o vocabulário do leigo e com o rigor das normas que os sites usam por baixo do capô.

Como a passkey autentica sem digitar senha#

A chave de acesso não é um texto que você inventa e memoriza. Ela é um par de chaves criptográficas ligado à sua conta naquele site específico. Segundo o guia de passkeys da MDN, a chave privada fica no autenticador do dispositivo ou em um gerenciador compatível, e a chave pública fica no servidor. No login, o servidor manda um desafio aleatório. O autenticador assina esse desafio com a chave privada, junto com contexto como a origem da página. O servidor valida a assinatura com a chave pública e só então abre a sessão.

O papel do desafio e da origem#

O desafio existe para impedir replay. A orientação de implementação de autenticação passkey no servidor da Google descreve o desafio como dados aleatórios que devem ser usados uma única vez, descartados após sucesso ou falha, e com tamanho mínimo de 16 bytes segundo a especificação, sendo comum usar 32 bytes nas bibliotecas. Além disso, o navegador só oferece credenciais cujo escopo bate com o site pedinte. Por isso um domínio falso com grafia parecida não consegue pedir a passkey do domínio legítimo da forma como um phishing pede a senha digitada.

Exemplo do cotidiano#

Imagine que Ana cria uma passkey no site da loja no celular. Na próxima compra pelo notebook, se a passkey estiver sincronizada pelo provedor de credenciais dela, o sistema pode propor o mesmo login após desbloqueio local. Se a passkey for apenas ligada àquele celular, ela precisará do aparelho original, de um fluxo entre dispositivos apoiado pelo sistema, ou de outro método de recuperação que a loja ofereça. O benefício é velocidade e resistência a senha roubada. O custo é depender do ecossistema do autenticador e de um plano claro de recuperação.

Quando reviso cadastros de pessoas que misturam senha fraca com SMS, o ganho mais visível da passkey é tirar o segredo digitável da mão do atacante remoto. Porém isso não apaga a necessidade de cuidar da conta do provedor de senhas ou do iCloud, nem de manter um segundo fator ou um segundo autenticador para o dia em que o aparelho principal falha.

Por que a passkey resiste melhor a phishing do que senha e código#

Senha e código digitáveis viajam pela cabeça e pelos dedos. Um site falso pode pedir os dois e retransmitir o login em tempo real. A passkey, quando a cerimônia e a verificação no servidor estão corretas, amarra a resposta criptográfica ao identificador da parte confiável. A especificação WebAuthn Nível 2 do W3C deixa explícito que a credencial de chave pública fica escopada à relying party e só deve ser acessível por origens dessa parte.

As diretrizes digitais do NIST em SP 800-63B separam resistência a phishing de o usuário prestar atenção. Lá, autenticações que pedem digitação manual de OTP não contam como resistentes a phishing, porque o impostor pode retransmitir o valor. Em contraste, autenticação criptográfica com ligação ao nome do verificador ou ao canal atende ao requisito de phishing resistance. Passkeys FIDO2 com verificação do usuário aparecem no ecossistema como autenticadores criptográficos multifator nesse sentido, conforme os materiais de implementação associados.

Há limite. Resistência a phishing no login não evita sessão já capturada, recuperação fraca por e-mail, malware no aparelho desbloqueado ou um administrador que aceite qualquer método antigo por compatibilidade. Ou seja, a passkey fortalece a porta da frente. Ela não substitui higiene de sessão, autorização no servidor e recuperação bem desenhada.

Se fosse comigo, eu trataria a passkey como melhoria estrutural em relação a senha reutilizada e a SMS, e ainda assim manteria um segundo autenticador cadastrado e um caminho de recuperação testado. A maioria das perdas que eu vejo não vem de quebrar WebAuthn, e sim de recuperação frouxa ou de alguém que removeu o único aparelho sem plano B.

Passkey sincronizada ou ligada ao dispositivo#

Nem toda chave de acesso se comporta igual. Em linhas gerais há dois modelos. Na passkey ligada ao dispositivo, a chave privada nasce e permanece naquele hardware, por exemplo uma chave de segurança FIDO2 ou um autenticador de plataforma que não exporta a chave. Na passkey sincronizada, o provedor de credenciais cifra e replica a credencial entre aparelhos autenticados na mesma conta do provedor. A documentação da Microsoft sobre passkeys FIDO2 no Entra ID descreve essa distinção e o efeito prático de criptografia ligada à origem com interação local do usuário, além de alertar que passkeys sincronizadas não suportam attestation da mesma forma, embora ainda sejam tratadas como credenciais resistentes a phishing em muitos cenários corporativos.

Quando cada modelo faz sentido#

Para conta pessoal espalhada entre celular e notebook, a sincronização reduz o risco de ficar trancado fora depois de trocar de telefone. O risco correlato é a conta do provedor de sincronização virar o novo cofre mestre. Para ambiente corporativo com exigência de proveniência do autenticador, a opção ligada ao dispositivo ou a chave física costuma ser preferida, porque o controle de onde a chave existe é mais rígido. Em ambos os casos, o benefício de não digitar senha vem acompanhado do custo de governança do provedor e da política de quem pode adicionar novos autenticadores.

Armadilha comum de migração#

Trocar de celular sem exportar ou sincronizar, e sem ter cadastrado segunda passkey, é o caminho clássico para dependência total do fluxo de esqueci minha senha. Se esse fluxo cair em e-mail comprometido, o ganho antifraude do login principal se esvazia. Por isso a recomendação defensiva da folha de dicas de segurança de passkey da OWASP inclui sustentar mais de um autenticador e tratar recuperação com o mesmo cuidado da autenticação.

O erro que mais custa caro aqui é achar que já tenho passkey equivale a já tenho continuidade. Continuidade exige inventário. Quantos dispositivos têm a credencial. Qual método resta se o provedor de sincronização ficar inacessível. Quem na empresa pode registrar uma passkey nova em nome da conta.

A passkey substitui a autenticação de dois fatores#

Depende da política do site e de como a verificação do usuário foi pedida. Uma passkey com desbloqueio local por biometria ou PIN combina algo que você tem com algo que você é ou sabe localmente. Vários provedores tratam isso como método multifator quando a relying party exige user verification e confere a flag correspondente na asserção. A própria OWASP reforça que presença do usuário e verificação do usuário não são a mesma propriedade, e que o servidor precisa pedir e validar a verificação quando quiser assegurar multifator.

Por outro lado, se o site aceita a passkey sem exigir verificação do usuário, ou se ainda deixa SMS e senha como atalho preferencial, você pode achar que avançou e na prática continuar em um modelo frágil. Além disso, autenticação de dois fatores (2FA) clássica com aplicativo TOTP continua útil como plano B, embora o código digitável não tenha a mesma resistência a phishing da passkey bem implementada.

Muita gente acha que basta marcar sem senha na interface e o risco some. Quase sempre está enganada, porque a força real está na combinação de escopo de origem, desafio de uso único, verificação local e recuperação sem buraco. Sem esses quatro pontos, o rótulo de autenticação sem senha vira cosmética.

Como criar, usar e não se trancar fora da conta#

No fluxo típico de registro, você já está autenticado por outro meio ou está abrindo conta nova. O site chama a API WebAuthn do navegador para criar a credencial. Você confirma com o desbloqueio do aparelho. O servidor guarda a chave pública e um identificador da credencial no banco de dados, nunca a chave privada. No uso diário, o navegador sugere a passkey no campo de login ou em um botão dedicado, você confirma localmente e entra.

Passos práticos para a maioria das pessoas#

1. Ative a passkey primeiro nas contas de alto impacto, como e-mail principal e provedor de identidade, porque essas contas recuperam as outras.
2. Cadastre pelo menos dois autenticadores ou garanta sincronização consciente em aparelhos que você controla.
3. Guarde um método de recuperação forte e teste-o em horário calmo, não na viagem em que o celular caiu na água.
4. Revise periodicamente os dispositivos e as passkeys listadas na conta, removendo o que você não reconhece.
5. Desconfie de páginas que peçam para digitar a chave de acesso como se fosse senha. Passkey legítima dispara cerimônia do sistema, não um campo de texto secreto inventado pelo site falso.

Exceção e custo escondido#

Há serviços que oferecem passkey só em alguns navegadores ou sistemas. Há também fluxos entre dispositivos por QR code que pedem proximidade e atenção ao que está na tela. O custo escondido é fragmentação. Você ganha comodidade onde o suporte existe e encontra atrito onde o site ainda força senha antiga. Enquanto isso, um cookie de navegador de sessão mal protegido pode anular parte do cuidado se, depois do login, a sessão for sequestrada.

No suporte a sistemas de login, o ponto que eu priorizo com o usuário leigo é o ensaio de recuperação antes da emergência. Quem só celebra o desbloqueio por digital e nunca testa o segundo aparelho descobre o buraco tarde demais. Assim eu oriento criar a segunda passkey no mesmo dia da primeira, não quando der.

O que é passkey no fluxo WebAuthn do site#

Do lado do site, o que é passkey se traduz em duas cerimônias padronizadas. Na especificação WebAuthn, o registro cria a credencial com navigator.credentials.create, e a autenticação obtém a asserção com navigator.credentials.get. A relying party precisa validar origem, desafio, assinatura e flags no servidor, de preferência com biblioteca FIDO mantida, como reforçam Google e OWASP. FIDO2 aparece como guarda-chuva que combina WebAuthn na web com o protocolo CTAP para falar com autenticadores externos.

A criptografia de chave pública é o coração do modelo. O servidor não precisa guardar o segredo que autentica. Ele guarda material verificável. Isso reduz o impacto de um vazamento de hashes de senha, porém não elimina a obrigação de proteger a escrita no banco. Se um atacante puder inserir a chave pública dele na sua conta, ele passa a autenticar como você. Por isso a OWASP pede reautenticação recente antes de adicionar passkeys e amarração correta da credencial à conta pretendida.

Em ambientes de produto, eu separo três decisões que o leigo sente na pele sem ver o código. A primeira é se a passkey é método principal ou opcional. A segunda é se a recuperação continua dependente de e-mail frágil. A terceira é se o time valida tudo no servidor ou só funciona no demo do navegador. Sem a terceira, o marketing de autenticação sem senha vende uma segurança que a produção não entrega.

Termos relacionados#

• criptografia Explica o par de chaves pública e privada que a passkey usa no lugar do segredo compartilhado.
• biometria Costuma ser o gesto local que desbloqueia a chave privada no aparelho, sem enviar a digital ao site.
• autenticação de dois fatores (2FA) É o quadro mais amplo em que a passkey com verificação do usuário pode entrar como fator forte.
• API (interface de programação de aplicações) No navegador, a Web Authentication API é a interface que o site chama para criar e usar a passkey.

Perguntas frequentes sobre passkey#

As dúvidas abaixo cobrem o que costuma sobrar depois da explicação técnica. Elas tratam de compatibilidade, perda de aparelho, relação com senha antiga e o sentido prático da expressão o que é passkey quando o site só mostra um botão no login.

O que é passkey em uma frase útil para decidir se eu ativo hoje?#

É um login sem digitar senha no site, em que o seu aparelho prova posse de uma chave privada escopada àquele serviço. Se suas contas importantes já oferecem a opção e você consegue cadastrar um segundo autenticador, ativar hoje costuma reduzir risco de phishing por senha. Se não houver recuperação clara, resolva o plano B antes de remover a senha antiga.

A digital ou o rosto vão para o servidor do site?#

Em implementações típicas de plataforma, a biometria desbloqueia o autenticador localmente. O que viaja ao servidor é a asserção assinada, não o modelo da sua digital. Ainda assim, a política de privacidade do fabricante do aparelho e do provedor de sincronização continua relevante, porque a chave pode existir nesse ecossistema.

Passkey acaba com a necessidade de senha em todo lugar?#

Não de imediato. Muitos serviços mantêm senha como fallback, e alguns fluxos legados ainda a exigem. O caminho saudável é adicionar a passkey, confirmar que funciona em todos os aparelhos que você usa, e só então reduzir a dependência da senha onde o serviço permitir com segurança.

E se eu perder o celular com a única passkey?#

Você depende dos métodos de recuperação da conta e de qualquer autenticador adicional já cadastrado. Sem isso, o bloqueio é real. Cadastre segunda passkey, chave de segurança ou outro fator aceito pelo serviço, e teste a recuperação enquanto ainda tem acesso.

FIDO2 e WebAuthn são a mesma coisa que passkey?#

Estão relacionados, porém não são sinônimos perfeitos. WebAuthn é a API web. FIDO2 cobre o conjunto de padrões que inclui essa API e a comunicação com autenticadores. Passkey é o nome de produto e de experiência para credenciais WebAuthn descobráveis usadas em autenticação sem senha.

Um aplicativo autenticador de códigos ainda faz sentido?#

Sim como complemento e plano B, principalmente onde o site ainda não oferece passkey completa. Porém um código digitável permanece mais vulnerável a phishing por retransmissão do que uma passkey com verificação correta no servidor.

Conclusão#

Para a maioria das pessoas, a resposta prática é adotar a chave de acesso nas contas que destravam o restante da vida digital, começando pelo e-mail e pelo provedor de identidade, com pelo menos dois autenticadores ou sincronização consciente. A passkey bem usada reduz a superfície em que phishing remoto pede senha e código. Ela não perdoa recuperação frágil nem aparelho único sem backup.

A resposta muda quando há exigência corporativa de attestation, quando o serviço mal implementa a validação no servidor, ou quando a conta do provedor de sincronização é o elo fraco. Nesses casos, priorize passkey ligada a dispositivo ou chave física, endureça a recuperação e mantenha fatores alternativos fortes.

O primeiro passo concreto é simples de executar hoje. Abra uma conta importante, crie a passkey, cadastre um segundo autenticador na mesma sessão e faça logout para testar o retorno. Se o teste falhar, você ainda está dentro da conta para corrigir. Se passar, você saiu do discurso e entrou no hábito.

Este texto sobre passkey (chave de acesso) é informativo e descreve mecanismos e riscos gerais de autenticação digital. Não é auditoria de segurança do seu sistema, nem recomendação de produto ou configuração obrigatória para um caso concreto. Políticas de login, obrigações legais e escolhas de fator variam por serviço e por organização. Em dúvida sobre implantação em empresa ou proteção de dados pessoais, consulte profissional de segurança da informação e a documentação oficial do provedor que você usa, conferida na data da sua decisão.