O que é passkey? Veja como ativar a chave de acesso que substitui a senha

Digitar senha, recuperar senha esquecida e receber código por SMS pode começar a aparecer com menos frequência na rotina digital. Uma tecnologia chamada passkey, ou chave de acesso, já permite entrar em contas e aplicativos usando o próprio celular ou computador, com reconhecimento facial, impressão digital ou PIN.

Google, Apple e Microsoft já oferecem suporte à tecnologia, que foi desenvolvida a partir dos padrões da FIDO Alliance. A proposta é substituir gradualmente as senhas por uma forma de autenticação mais simples e resistente a golpes de phishing.

Mas o que é passkey, como ela consegue funcionar sem uma senha e o que acontece se o celular for perdido? Entender esses pontos é importante antes de ativar o recurso.

O que é passkey?

Passkey é uma credencial digital usada para entrar em sites e aplicativos sem precisar digitar uma senha tradicional.

Ela utiliza criptografia de chave pública. Em termos simplificados, duas partes trabalham juntas: uma fica protegida no dispositivo do usuário e outra é registrada pelo serviço no qual a conta foi criada.

No momento do login, o aparelho comprova criptograficamente que possui a credencial correta. O usuário apenas autoriza essa operação usando o mecanismo de desbloqueio do dispositivo, como:

• reconhecimento facial;
• impressão digital;
• PIN;
• padrão de desbloqueio;
• chave física de segurança compatível.

A FIDO Alliance explica que as passkeys são baseadas nos padrões FIDO e foram desenvolvidas justamente como uma alternativa às senhas tradicionais.

Isso significa que a impressão digital ou o rosto não são a passkey. Eles servem apenas para autorizar o dispositivo a utilizar a chave de acesso armazenada nele.

Como a passkey funciona na prática?

Imagine que você precisa entrar em uma Conta Google.

Com uma senha tradicional, normalmente seria necessário digitar uma combinação de letras, números e símbolos. Dependendo das configurações de segurança, ainda poderia existir uma segunda etapa.

Com uma passkey cadastrada, o aparelho pode pedir apenas que você desbloqueie o celular com o rosto, digital ou PIN. Depois da confirmação, a credencial armazenada no dispositivo conclui a autenticação.

No Google, por exemplo, uma passkey pode ser utilizada com impressão digital, reconhecimento facial ou bloqueio de tela. A empresa também informa que os dados biométricos permanecem no dispositivo e não são enviados ao Google.

O mesmo princípio é adotado pelo ecossistema FIDO: informações biométricas usadas para desbloquear uma passkey continuam sendo processadas localmente.

Passkey é mais segura que senha?

Em alguns dos principais tipos de ataque contra credenciais, sim.

Uma diferença importante é que a passkey fica vinculada ao serviço para o qual foi criada. Segundo a FIDO Alliance, essa característica torna a autenticação resistente a phishing porque a credencial não é simplesmente digitada em uma página e não pode ser reutilizada em um site falso da mesma maneira que uma senha.

Isso ajuda a enfrentar problemas comuns das senhas tradicionais, como:

• reutilização da mesma senha em vários serviços;
• vazamento de bancos de senhas;
• páginas falsas criadas para roubar credenciais;
• usuários que entregam a senha sem perceber em ataques de phishing;
• senhas fracas ou previsíveis.

Esse cuidado continua importante mesmo com novas formas de autenticação. Antes de abrir mensagens recebidas por aplicativos, vale saber como identificar um link suspeito antes de clicar, principalmente quando a página solicita dados pessoais ou informações de acesso.

A passkey também elimina a necessidade de memorizar aquela credencial específica.

Mas isso não significa que a conta se torna impossível de invadir. A segurança continua dependendo do controle do aparelho, das formas de recuperação da conta e das proteções oferecidas pelo serviço.

Passkey x senha: qual é a diferença?

Senha tradicional	Passkey
Precisa ser lembrada ou armazenada	Fica armazenada no dispositivo ou gerenciador compatível
Pode ser digitada em um site falso	É vinculada ao serviço para o qual foi criada
Pode ser reutilizada	Cada credencial é específica para determinado serviço
Pode vazar em ataques a bancos de senhas	O servidor não precisa armazenar o mesmo segredo utilizado para autenticar
Usuário digita a credencial	Dispositivo faz a autenticação criptográfica
Pode exigir código adicional	Dependendo do serviço, a passkey já comprova a posse do dispositivo

A diferença mais importante é que não existe uma sequência secreta que o usuário precise entregar ao site toda vez que entra na conta.

Por que as empresas estão adotando passkeys?

A mudança faz parte de um movimento maior da indústria para reduzir a dependência de senhas.

Google, Apple e Microsoft integram o ecossistema que suporta os padrões utilizados pelas passkeys, e a FIDO Alliance afirma que a tecnologia já é compatível com os principais sistemas operacionais e navegadores modernos.

A Microsoft também informa atualmente que está retirando gradualmente o SMS como método de autenticação e recuperação para contas pessoais, direcionando os usuários para opções como passkeys e e-mail verificado.

Isso ajuda a explicar por que cada vez mais pessoas estão encontrando mensagens como “criar uma chave de acesso” ao fazer login em serviços digitais.

Como ativar uma passkey?

Não existe um único botão universal. A chave de acesso precisa ser criada dentro de cada serviço que oferece suporte à tecnologia.

O processo, porém, costuma ser parecido:

1. entre normalmente na sua conta;
2. abra as configurações de segurança ou login;
3. procure por Passkey, Chave de acesso ou Chaves de acesso;
4. escolha criar uma nova chave;
5. confirme sua identidade;
6. autorize usando rosto, digital, PIN ou outro método de desbloqueio do aparelho.

Depois disso, aquele serviço poderá oferecer a passkey nas próximas tentativas de login.

Como ativar uma passkey na Conta Google

O Google permite criar uma chave de acesso diretamente nas opções de login da conta.

O caminho indicado atualmente pela empresa é acessar as configurações de Chaves de acesso e chaves de segurança, selecionar Criar uma chave de acesso e desbloquear o dispositivo para confirmar.

Um detalhe importante: criar a passkey no Google não apaga automaticamente sua senha ou seus métodos de recuperação existentes.

O Google informa que, ao criar uma chave, a conta passa por padrão para uma experiência que prioriza passkeys. Ainda assim, o usuário pode voltar a usar a senha como método inicial nas configurações.

Também não é recomendável cadastrar uma passkey em computador ou celular compartilhado. Qualquer pessoa capaz de desbloquear esse aparelho poderia potencialmente utilizar a chave para acessar a conta.

Como usar passkeys no iPhone

No ecossistema Apple, passkeys podem ser armazenadas de forma criptografada nas ferramentas de gerenciamento de credenciais vinculadas à conta Apple.

Segundo a Apple, as chaves de acesso podem funcionar entre dispositivos conectados à mesma conta quando o Chaves do iCloud está configurado. A empresa também afirma que as passkeys armazenadas nesse sistema são criptografadas e não ficam visíveis nem mesmo para a Apple.

Quando um site ou aplicativo compatível oferece a opção, o próprio iPhone apresenta a possibilidade de criar e salvar a chave.

Depois, para entrar novamente, o usuário pode confirmar o acesso utilizando o mecanismo de autenticação do aparelho.

Como usar passkeys no Windows e na conta Microsoft

A Microsoft permite utilizar passkeys em contas pessoais, profissionais ou escolares, dependendo das políticas da organização.

A chave pode ser salva, por exemplo, no dispositivo Windows com o Windows Hello, em um gerenciador de credenciais compatível ou em uma chave física de segurança.

O Windows também oferece uma área específica para visualizar e excluir passkeys armazenadas localmente no computador.

Dá para usar a passkey do celular para entrar no computador?

Sim, em situações compatíveis.

Um exemplo comum é fazer login em um computador usando uma passkey armazenada no smartphone.

No Google, por exemplo, o computador pode exibir um QR Code. O usuário escaneia o código pelo celular e confirma sua identidade no próprio telefone usando rosto, digital ou PIN.

Esse processo permite utilizar a credencial do celular sem precisar transferir uma senha manualmente para o computador.

A FIDO Alliance também prevê autenticação entre dispositivos próximos dentro dos padrões utilizados pelas passkeys.

O que acontece se eu perder o celular?

Essa é uma das dúvidas mais importantes.

A resposta depende de onde a passkey está armazenada.

Existem passkeys sincronizadas, que podem ser disponibilizadas em outros aparelhos pelo mesmo provedor de credenciais, e passkeys vinculadas a um dispositivo específico.

Se uma pessoa perder um aparelho, o ideal é:

• bloquear ou apagar remotamente o dispositivo quando possível;
• revisar os aparelhos conectados à conta;
• remover a passkey associada ao aparelho perdido;
• utilizar outro método de login ou recuperação disponível;
• cadastrar uma nova passkey no dispositivo substituto.

O Google, por exemplo, orienta que o usuário remova da conta a chave de acesso vinculada a um aparelho perdido ou roubado.

Por isso, antes de abandonar completamente outros métodos de recuperação, é importante verificar como cada serviço trata a recuperação de contas.

Passkey substitui a verificação em duas etapas?

Pode substituir algumas etapas, mas isso depende do serviço.

Em uma Conta Google, por exemplo, quando a passkey é usada no login, ela pode dispensar a segunda etapa porque já comprova que o usuário tem acesso ao dispositivo e consegue desbloqueá-lo.

A FIDO Alliance também afirma que passkeys podem substituir fluxos tradicionais que utilizam senha acompanhada de códigos temporários em determinadas implementações.

Isso não significa que todas as empresas funcionarão exatamente dessa maneira. Cada serviço pode definir regras próprias de segurança e recuperação.

Preciso ativar passkey em todas as minhas contas?

Não.

A adoção ainda depende do suporte de cada site ou aplicativo, e o usuário pode continuar utilizando os métodos de login disponibilizados pelo serviço.

O cuidado mais importante é criar chaves apenas em dispositivos pessoais e protegidos por bloqueio de tela. Também é importante revisar outras configurações de segurança e entender como deixar o celular mais protegido contra golpes, especialmente quando o aparelho concentra contas, aplicativos bancários e métodos de autenticação.

Quem costuma receber mensagens com páginas falsas também deve manter outros hábitos de segurança. O Opção Notícia já explicou como identificar um link recebido pelo WhatsApp antes de clicar, uma das portas mais frequentes para tentativas de roubo de credenciais.

Vale a pena usar passkey?

Para usuários que já têm celular ou computador protegido por PIN, biometria ou reconhecimento facial, a passkey tende a simplificar o login e reduzir a necessidade de memorizar senhas.

O principal ganho não é apenas conveniência.

Como a autenticação está vinculada criptograficamente ao serviço correto, a tecnologia dificulta ataques baseados em páginas falsas criadas apenas para capturar uma senha.

Isso não elimina todos os riscos digitais, mas muda uma das partes mais frágeis do login tradicional: a necessidade de o usuário conhecer, guardar e digitar um segredo reutilizável.

Para quem está tentando entender o que é passkey, a forma mais simples de resumir é esta: trata-se de uma chave digital protegida pelo seu dispositivo que permite comprovar sua identidade sem entregar uma senha ao site.

A proteção das contas, porém, é apenas uma parte da segurança no celular. Em serviços financeiros, também vale conhecer os principais cuidados para evitar golpes no celular, especialmente antes de confirmar transferências ou fornecer informações solicitadas por terceiros.

Perguntas frequentes

Passkey é a mesma coisa que impressão digital?

Não. A passkey é uma credencial criptográfica. A impressão digital, reconhecimento facial ou PIN serve para autorizar o uso dessa credencial no dispositivo.

Criar uma passkey apaga minha senha?

Não necessariamente. No Google, por exemplo, criar uma passkey não remove automaticamente a senha ou os demais métodos de autenticação e recuperação existentes.

É possível ter várias passkeys?

Sim. Dependendo do serviço, é possível ter passkeys disponíveis em diferentes dispositivos ou provedores de credenciais.

Uma passkey pode ser roubada por phishing?

A tecnologia foi projetada para ser resistente a phishing, pois a credencial é vinculada ao serviço legítimo e não é digitada ou enviada como uma senha comum.

Posso usar passkey sem biometria?

Sim. Dependendo do dispositivo, a chave pode ser liberada também por PIN, padrão de desbloqueio ou por uma chave de segurança física compatível.