O Fim das Senhas Convencionais: Implementando Passkeys e Autenticação FIDO2 na sua Empresa

Edson Feitosa de Oliveira Júnior

Fundador & Desenvolvedor Full Stack

Senhas são o elo mais fraco da segurança de quase toda empresa. Elas são reutilizadas, anotadas em papel, compartilhadas por WhatsApp e vazadas em ataques a outros sites. As passkeys (chaves de acesso) prometem resolver isso trocando a senha por uma credencial criptográfica guardada no seu aparelho. Neste guia explicamos como elas funcionam, onde já dá para usar e como fazer a transição numa pequena empresa.

Por que as senhas falham

• Reutilização: quando um site vaza, criminosos testam o mesmo e-mail e senha em bancos, e-mails e redes sociais.
• Phishing: uma página falsa idêntica à original convence a pessoa a digitar a senha.
• Senhas fracas: "Empresa@2024" é adivinhada em segundos por programas automáticos.
• Compartilhamento: a senha do e-mail da empresa que "todo mundo sabe" continua valendo depois que alguém sai.

O que são passkeys

Passkey é um padrão aberto (baseado em FIDO2 e WebAuthn) apoiado por Google, Apple e Microsoft. Em vez de uma senha, o site guarda uma chave pública, e o seu celular ou computador guarda a chave privada correspondente. Para entrar, você confirma com digital, rosto ou o PIN do aparelho, e o dispositivo prova matematicamente que tem a chave, sem enviá-la.

Na prática, isso traz três vantagens:

• Não há senha para vazar: mesmo que o site seja invadido, a chave pública não serve para entrar.
• Resistência a phishing: a passkey é vinculada ao endereço verdadeiro do site e simplesmente não funciona numa página falsa.
• Mais rápido: entrar fica tão simples quanto desbloquear o celular.

Onde já dá para usar

Contas Google, Microsoft e Apple aceitam passkeys, assim como muitos serviços populares de e-mail, redes sociais, lojas e gerenciadores de senha. O suporte cresce a cada mês, mas ainda há muitos sistemas, inclusive bancos e sistemas de gestão, que só aceitam senha. Por isso a transição é gradual.

Enquanto isso: autenticação em dois fatores

Onde não houver passkey, ative a verificação em duas etapas (2FA). Mesmo que a senha vaze, o invasor precisa do segundo fator. Do mais fraco ao mais forte:

1. Código por SMS: melhor que nada, mas vulnerável a clonagem de chip.
2. Aplicativo autenticador (Google Authenticator, Microsoft Authenticator e similares): gera códigos no próprio celular, bem mais seguro.
3. Chave de segurança física (como YubiKey) ou passkey: a opção mais resistente a phishing.

Plano de transição para uma pequena empresa

1. Comece pelo e-mail. Quem controla o e-mail consegue redefinir a senha de quase tudo. Ative passkey ou 2FA em todas as contas de e-mail da empresa.
2. Adote um gerenciador de senhas para a equipe, com cofres compartilhados por setor. Ele também guarda passkeys. Veja por que usar um gerenciador de senhas.
3. Proteja o que mexe com dinheiro: banco, maquininha, plataformas de pagamento e domínio do site.
4. Crie contas individuais. Evite logins compartilhados; cada pessoa com o próprio acesso facilita retirar permissões quando alguém sai.
5. Tenha um processo de saída: quando um funcionário deixa a empresa, revogue acessos e troque senhas compartilhadas no mesmo dia.
6. Guarde códigos de recuperação em local seguro, para não perder acesso se o celular for roubado.

Cuidados com passkeys

• Passkeys sincronizam pela conta Google, Apple ou pelo gerenciador de senhas. Proteja muito bem essa conta principal.
• Cadastre mais de um dispositivo ou um método de recuperação, para não ficar trancado do lado de fora.
• Em aparelhos compartilhados, prefira chaves físicas ou contas separadas.

Golpistas também tentam roubar códigos de verificação pelo WhatsApp. Veja golpes no WhatsApp e o checklist de segurança digital.

Perguntas frequentes