Se um site ou aplicativo oferece a opção de criar uma chave de acesso, ou passkey, em geral vale a pena ativá-la. A tecnologia elimina a senha daquele fluxo de login e tem uma vantagem importante: foi projetada para resistir a phishing, porque a credencial fica vinculada ao site ou aplicativo para o qual foi criada.
Isso não significa, porém, que perder o celular se tornou irrelevante. O resultado depende de onde a passkey foi armazenada. Algumas são sincronizadas por um gerenciador de credenciais e podem reaparecer em um novo aparelho; outras ficam vinculadas a um dispositivo específico. Também existe uma questão separada: como a própria conta permite recuperar o acesso se todas as passkeys disponíveis forem perdidas.
Como uma passkey funciona sem você decorar um segredo
Ao criar uma passkey, o dispositivo gera um par de chaves criptográficas. A chave pública é registrada no site ou aplicativo. A parte privada fica protegida no dispositivo ou no gerenciador de credenciais escolhido. No login, o serviço envia um desafio, o dispositivo usa a chave privada para assiná-lo e o servidor verifica a resposta usando a chave pública. A senha tradicional deixa de precisar ser enviada ao serviço nesse processo.
Para autorizar o uso da passkey, normalmente você faz algo que já faz para desbloquear o aparelho: usa impressão digital, reconhecimento facial, PIN, padrão ou outro mecanismo local aceito pela plataforma. A biometria não é enviada ao site como parte da passkey; ela serve para liberar localmente o uso da credencial.
Essa distinção é importante. Seu rosto ou impressão digital não é a passkey. A passkey é a credencial criptográfica armazenada e protegida pelo dispositivo ou gerenciador.
Por que a passkey é mais resistente a phishing
Uma senha pode ser digitada tanto no site verdadeiro quanto em uma página falsa convincente. O mesmo problema existe com códigos de uso único: se a vítima digitar um OTP em uma página controlada pelo golpista, esse código pode ser retransmitido enquanto ainda é válido.
O NIST, em sua revisão mais recente das diretrizes de autenticação, publicada em julho de 2025, afirma que mecanismos que exigem a digitação manual de OTP não são considerados resistentes a phishing. Já o WebAuthn, padrão usado nas credenciais FIDO2 que dão base às passkeys, vincula criptograficamente a autenticação ao domínio do serviço.
Na prática, isso significa que uma passkey criada para um domínio legítimo não é simplesmente entregue a uma cópia visual desse site hospedada em outro domínio. A verificação é feita pelo navegador e pelo sistema, em vez de depender apenas de você perceber que a página é falsa.
A proteção, contudo, não cobre todo tipo de ataque. Malware no aparelho, roubo de uma sessão já autenticada, comprometimento do mecanismo de recuperação e um dispositivo desbloqueado por outra pessoa são problemas diferentes. O próprio NIST chama atenção para a recuperação de autenticadores como possível ponto fraco, especialmente quando métodos de backup menos seguros ou processos assistidos por pessoas entram em cena.
Passkey, senha e 2FA não são exatamente concorrentes
“Passkey ou autenticação em dois fatores?” pode induzir a uma comparação incompleta. 2FA descreve o uso de fatores de autenticação; não é um único tipo de credencial.
| Método | O que você apresenta | Resistência a phishing | Ponto de atenção |
|---|---|---|---|
| Senha | Um segredo que você conhece e digita | Não | Pode ser reutilizada, roubada ou digitada em site falso |
| Senha + código OTP | Senha e código temporário | Não para phishing tradicional com retransmissão | É melhor que depender somente da senha, mas o código ainda pode ser solicitado por página falsa |
| Passkey com verificação local | Dispositivo com a chave + desbloqueio local quando exigido | Sim, quando implementada conforme WebAuthn/FIDO | É preciso planejar sincronização, dispositivo reserva e recuperação |
O FIDO explica que uma passkey pode combinar a posse do dispositivo com uma verificação local, como PIN ou biometria, quando o serviço solicita essa verificação. Por isso, em determinados fluxos ela pode substituir não apenas a senha, mas também combinações tradicionais como senha mais OTP.
Isso não torna todo 2FA inferior. Autenticadores criptográficos, como determinadas chaves físicas FIDO, também podem oferecer resistência a phishing. O problema está em tratar “2FA” como sinônimo apenas de código por SMS ou aplicativo autenticador.
Onde a passkey fica guardada
Existem duas situações que o usuário precisa distinguir.
Passkeys sincronizadas ficam sob responsabilidade de um provedor de credenciais capaz de disponibilizá-las em outros dispositivos autorizados. A FIDO Alliance cita como exemplos gerenciadores integrados a sistemas e gerenciadores de terceiros. Google, Apple e Microsoft também documentam mecanismos de sincronização em seus ecossistemas.
Passkeys vinculadas ao dispositivo, ou device-bound, permanecem naquele aparelho ou autenticador. Se não houver outra passkey ou método de recuperação, perder o dispositivo pode significar perder aquela credencial específica. A Microsoft, por exemplo, recomenda ter outra passkey disponível quando a credencial é mantida apenas localmente.
Por isso, antes de tocar em “Criar passkey”, é útil observar onde o sistema informa que ela será salva: no aparelho, no gerenciador da Apple, Google ou Microsoft, em um gerenciador de terceiros ou em uma chave de segurança física.
Perdi o celular. Perdi minhas contas?
Não necessariamente.
Se a passkey estiver sincronizada e você conseguir recuperar o acesso ao respectivo provedor de credenciais em outro aparelho, ela poderá voltar a ficar disponível. O Google documenta passkeys criptografadas e sincronizadas por seu gerenciador; a Apple sincroniza senhas e chaves-senha pelas Chaves do iCloud; e a Microsoft passou a oferecer sincronização por gerenciadores de credenciais compatíveis.
No ecossistema Apple, a documentação também prevê recuperação das Chaves do iCloud mesmo quando todos os dispositivos foram perdidos ou roubados. Dependendo da configuração da Conta Apple, o processo pode envolver um contato de recuperação ou o mecanismo protegido de recuperação das Chaves do iCloud, além de autenticação da conta, número de telefone confiável e código do dispositivo.
Se, por outro lado, a única passkey era vinculada exclusivamente ao celular perdido e não existe outra credencial nem um processo de recuperação utilizável, você pode ficar sem aquela forma de acesso. A recuperação passa então a depender das regras do próprio serviço.
Há ainda uma providência de segurança depois de um roubo. Serviços podem permitir que a credencial ou o dispositivo perdido seja removido da conta. Na Conta do Google, por exemplo, a própria documentação orienta remover a chave de acesso associada a um dispositivo perdido ou roubado usando outro aparelho no qual ainda seja possível entrar.
O que fazer antes de ativar passkeys nas contas mais importantes
A decisão não precisa ser entre “continuar com senha” e “apostar tudo em um celular”. Uma configuração mais segura é reduzir a dependência de um único aparelho.
- Descubra onde a passkey será armazenada. Prefira saber se ela será sincronizada ou ficará apenas no dispositivo.
- Revise a recuperação da conta. Confira e-mail, telefone, contatos de recuperação, códigos de recuperação ou outros métodos realmente oferecidos pelo serviço. O mecanismo exato varia de uma conta para outra.
- Tenha uma segunda forma de acesso quando a conta for crítica. Isso pode significar outra passkey, outro dispositivo autorizado ou uma chave de segurança física, conforme as opções do serviço.
- Proteja bem o bloqueio de tela. Quem consegue desbloquear um aparelho no qual existe uma passkey pode, dependendo do serviço e da configuração, conseguir usá-la. O Google alerta explicitamente para criar passkeys somente em dispositivos próprios e orienta não criá-las em aparelhos compartilhados.
O ponto mais importante é evitar criar uma dependência que você desconhece. Saber onde a credencial está e como sua conta é recuperada vale tanto quanto ativar a tecnologia.
E se eu trocar de celular?
Se você usa passkeys sincronizadas, a troca tende a ser mais simples: depois de configurar o novo aparelho e recuperar o acesso ao mesmo provedor de credenciais, as chaves compatíveis podem ficar disponíveis novamente. É justamente esse um dos objetivos das passkeys sincronizadas.
A experiência concreta varia conforme o sistema operacional, o gerenciador escolhido e o serviço. Em ambientes corporativos ou escolares, administradores também podem limitar onde as passkeys podem ser armazenadas ou como são utilizadas.
Se a passkey era exclusivamente local, a estratégia muda: crie outra credencial no novo aparelho antes de apagar ou entregar o antigo, desde que o serviço permita. Se não for possível, confirme primeiro qual método alternativo de login ou recuperação estará disponível.
Dá para usar a passkey em um computador que não é seu?
Sim, sem necessariamente salvar a passkey naquele computador.
Os padrões FIDO permitem autenticação entre dispositivos. Em um fluxo comum, o computador mostra um QR code, o celular próximo faz a leitura e você autoriza o login no próprio telefone. Há uma verificação de proximidade entre os aparelhos; a FIDO e fabricantes documentam o uso de Bluetooth nesse processo.
Esse é o caminho preferível em computador público, emprestado ou compartilhado: usar a passkey que já está no seu dispositivo, em vez de criar uma nova credencial permanente no computador alheio. A documentação do Google orienta expressamente a não criar passkeys em dispositivos compartilhados.
Como em qualquer acesso feito em computador de terceiros, a passkey não elimina riscos existentes no próprio equipamento ou em uma sessão que permaneça aberta. Ao terminar, encerre a sessão e evite manter a conta conectada.
Então, vale a pena ativar?
Para a maioria das pessoas que já usa celular e computador protegidos por bloqueio de tela, a passkey é uma evolução útil em relação ao login baseado apenas em senha e também reduz uma fragilidade importante de combinações como senha mais código OTP: o phishing de credenciais.
A melhor adoção não é simplesmente apertar “ativar” em todas as contas. Comece pelas contas importantes que oferecem suporte, confira em qual gerenciador a passkey será guardada e revise a recuperação antes de abandonar métodos que ainda possam ser necessários.
Se a passkey for sincronizada, perder um celular não significa automaticamente perder a credencial. Se ela for vinculada ao aparelho, trate outra passkey ou método de recuperação como uma chave reserva. E, em qualquer dos casos, lembre que a segurança do acesso passa a depender também de proteger bem o dispositivo e o próprio provedor que guarda suas credenciais.
