Passkeys, ou chaves de acesso, permitem entrar em uma conta usando o desbloqueio do aparelho, como PIN, biometria ou chave física, sem digitar a senha daquele site. Elas são vinculadas ao serviço correto e oferecem resistência maior a páginas falsas que tentam roubar credenciais.
Este guia explica o que é passkey, como criar e usar chaves de acesso, onde elas ficam armazenadas e como evitar perder o acesso à conta.
Como uma passkey funciona
Ao cadastrar uma chave de acesso, o dispositivo cria um par criptográfico. O serviço guarda a parte pública; a parte privada permanece protegida no aparelho, gerenciador compatível ou chave de segurança. No login, o serviço envia um desafio que só a chave privada correta consegue responder.
Seu rosto, impressão digital ou PIN normalmente desbloqueia a credencial local; esses dados não são enviados ao site como senha. A interface varia entre Windows, Android, iPhone, macOS, navegadores e gerenciadores.
Por que passkeys ajudam contra phishing
Uma senha pode ser digitada em uma cópia falsa de um site. A chave de acesso é criada para o domínio do serviço e não deve autenticar uma página diferente. Por isso é considerada uma forma resistente a phishing quando implementada corretamente.
O NIST observa em suas diretrizes de identidade digital que senhas não são resistentes a phishing e cita passkeys entre autenticadores com essa propriedade. Isso não elimina golpes: criminosos ainda podem induzir você a compartilhar dados, aprovar alterações ou entregar acesso remoto.
Passkey, senha e autenticação multifator
Os termos não são idênticos:
- senha: segredo digitado e conhecido pelo usuário;
- MFA: exige mais de um fator, como senha e aplicativo autenticador;
- passkey: credencial criptográfica desbloqueada no dispositivo;
- chave física: dispositivo USB, NFC ou similar que pode guardar credenciais.
Uma conta pode oferecer passkey e ainda manter senha como recuperação. A segurança final depende também da proteção do e-mail, do número de telefone, dos dispositivos e do suporte.
Prepare a conta antes de criar a chave
- Atualize sistema, navegador e gerenciador de senhas.
- Confirme e-mail e telefone de recuperação.
- Ative MFA enquanto a conta ainda depende de senha.
- Remova aparelhos e sessões que você não reconhece.
- Guarde códigos de recuperação em local seguro e separado.
Veja também nosso tutorial sobre como criar senhas fortes e proteger a autenticação.
Como criar uma passkey
Entre na conta pelo endereço oficial e abra as configurações de segurança. Procure Chaves de acesso, Passkeys ou Formas de entrar. Selecione criar e escolha onde armazenar.
O sistema pedirá o desbloqueio do dispositivo. Dê à chave um nome que ajude a identificar o aparelho, quando houver essa opção. Saia da conta e teste o novo login antes de remover qualquer método anterior.
Onde guardar chaves de acesso
Elas podem ficar em um aparelho, ser sincronizadas por um ecossistema ou permanecer em uma chave física. Cada escolha tem consequências:
- sincronizada: facilita uso em novos aparelhos, mas exige proteger a conta do provedor;
- vinculada ao dispositivo: reduz distribuição, porém pede uma opção de recuperação;
- chave física: é portátil e separada, mas pode ser perdida; mantenha uma reserva quando a conta for crítica.
Não fotografe QR codes de configuração nem compartilhe solicitações de login. Leia o nome da conta e do serviço antes de confirmar.
Como entrar em outro computador
Alguns serviços permitem usar a passkey do telefone para autenticar no computador por proximidade e QR code. Inicie sempre no site legítimo, confira o domínio e siga a solicitação exibida no aparelho.
Em computador público, não crie uma passkey permanente. Termine a sessão, não salve dados no navegador e evite acessar contas críticas em equipamento que você não controla.
O que fazer ao perder um aparelho
Use outro dispositivo já autorizado ou um código de recuperação. Entre nas configurações da conta, encerre sessões do aparelho perdido e remova sua chave de acesso. Troque a senha se ela ainda existir e revise alterações recentes.
Bloqueio de tela, criptografia e recurso de localização remota reduzem o risco. Não espere a perda acontecer para testar a recuperação.
Quando manter a senha
Alguns serviços ainda exigem senha em recuperação ou aplicativos antigos. Use uma senha única armazenada em gerenciador e MFA. Não reduza a segurança da senha porque a passkey foi habilitada.
A CISA recomenda combinar senhas fortes e gerenciador, autenticação multifator, reconhecimento de phishing e atualizações de software em sua campanha Secure Our World.
Perguntas frequentes
A biometria é enviada ao site?
Normalmente ela apenas desbloqueia a credencial protegida no dispositivo. Consulte a implementação do sistema e do serviço usados.
Passkey substitui todas as senhas?
Ainda não. A adoção varia e muitos serviços mantêm métodos antigos. Migre gradualmente e preserve recuperação segura.
Posso ter mais de uma chave?
Quando o serviço permite, cadastrar uma segunda chave ou outro dispositivo reduz o risco de bloqueio. Nomeie e revise cada uma.
Checklist de migração
- atualizar aparelhos e navegadores;
- proteger e-mail e conta de sincronização;
- guardar códigos de recuperação;
- cadastrar a passkey no site oficial;
- testar entrada e recuperação;
- manter uma alternativa para contas críticas;
- remover chaves de aparelhos perdidos ou vendidos.
