Passkeys (chaves de acesso): o que são e como usar no lugar das senhas
As passkeys, ou chaves de acesso, são a tentativa mais séria até hoje de aposentar as senhas. Em vez de digitar uma combinação de letras e números, você confirma o login com a digital, o reconhecimento facial ou o PIN do seu celular ou computador. Google, Apple, Microsoft, WhatsApp, Amazon, Mercado Livre e muitos outros serviços já aceitam. Este guia explica, em linguagem simples, como elas funcionam e por que são mais seguras.
Como as passkeys funcionam, sem complicação
Quando você cria uma passkey em um site, o seu aparelho gera um par de chaves criptográficas:
- A chave privada fica guardada no seu aparelho ou no seu gerenciador de senhas, protegida pela biometria ou pelo PIN. Ela nunca sai dali.
- A chave pública fica com o site.
No login, o site envia um desafio, o aparelho assina esse desafio com a chave privada depois que você confirma com a digital ou o rosto, e o site confere a assinatura com a chave pública. Nenhuma senha trafega pela internet e nada que fique guardado no site serve para entrar na sua conta.
Por que é mais seguro que senha
| Ameaça | Senha | Passkey |
|---|---|---|
| Site falso (phishing) | Você digita a senha no site falso e ela é roubada | A passkey é vinculada ao endereço verdadeiro e simplesmente não funciona no site falso |
| Vazamento do banco de dados do site | Senhas vazadas podem ser testadas em outros sites | O site só tem a chave pública, inútil para invasores |
| Senha fraca ou repetida | Comum | Não existe senha para ser fraca |
| Código de SMS interceptado | Possível em 2FA por SMS | Não usa SMS |
A resistência a phishing é a grande vantagem. Mesmo pessoas atentas caem em sites falsos bem feitos; com passkeys, o próprio aparelho se recusa a entregar a credencial para o endereço errado. Entenda os ataques mais sofisticados em phishing hiperpersonalizado por IA.
Onde as passkeys ficam guardadas
- No iPhone, iPad e Mac: no Chaves do iCloud (Senhas), sincronizadas entre os aparelhos Apple.
- No Android e no Chrome: no Gerenciador de Senhas do Google, sincronizadas pela conta Google.
- No Windows: no Windows Hello, e em versões recentes também sincronizadas pela conta Microsoft.
- Em gerenciadores de senhas: 1Password, Bitwarden e outros guardam passkeys e funcionam em qualquer sistema.
- Em chaves físicas de segurança: pequenos dispositivos USB ou NFC, usados por quem precisa de proteção máxima.
Como criar a sua primeira passkey
- Acesse myaccount.google.com > Segurança.
- Em "Como você faz login no Google", clique em Chaves de acesso e chaves de segurança.
- Clique em Criar uma chave de acesso e confirme com a biometria ou o PIN do aparelho.
WhatsApp (Android e iPhone)
- Configurações > Conta > Chaves de acesso.
- Toque em Criar chave de acesso e confirme.
Microsoft
- Acesse account.microsoft.com > Segurança > Opções de entrada.
- Adicione uma chave de acesso e escolha o aparelho.
O processo é parecido em outros serviços: procure "chave de acesso", "passkey" ou "login sem senha" nas configurações de segurança.
Entrando em um computador que não é seu
Se você precisa entrar na sua conta em um computador emprestado, o site pode mostrar um QR Code. Você o lê com o celular onde está a passkey, confirma com a biometria, e o login acontece no computador. O celular precisa estar perto, porque a confirmação usa Bluetooth para provar a proximidade. Isso impede que alguém do outro lado do mundo use o QR Code.
E se eu perder o celular?
Esse é o receio mais comum, e a resposta depende de onde a passkey está guardada:
- Passkeys sincronizadas (iCloud, Google, Microsoft, gerenciadores de senhas) continuam disponíveis em um celular novo assim que você entra na mesma conta.
- Passkeys presas a um único aparelho, como as de chaves físicas, se perdem com o aparelho. Por isso, cadastre sempre mais de uma forma de acesso.
Em qualquer caso, mantenha um método de recuperação: códigos de backup, outro aparelho cadastrado ou a verificação em duas etapas por aplicativo autenticador. E proteja muito bem a conta que sincroniza as passkeys, porque ela vira a chave das outras.
Passkeys acabam com as senhas de vez?
Ainda não. Muitos serviços aceitam passkeys como opção, mas mantêm a senha como alternativa. Enquanto isso acontecer, continue usando senhas fortes e únicas em um gerenciador de senhas. A passkey elimina o risco do lado do login, mas uma senha fraca ainda cadastrada continua sendo uma porta.
Para empresas
Para contas críticas, como e-mail corporativo, domínio, banco e redes sociais da empresa, passkeys ou chaves físicas de segurança são a proteção mais forte disponível hoje. Google Workspace e Microsoft 365 permitem exigir esse tipo de autenticação para administradores. Comece pelas contas com mais poder e expanda aos poucos. Isso cabe muito bem na política de segurança da empresa.
Checklist de Segurança Digital
Faça o checklist gratuito da PruPru e veja, em poucos minutos, quais proteções básicas estão faltando no seu computador e na sua empresa.
Fazer o checklist →Perguntas frequentes
A passkey envia minha digital para o site?
Não. A digital ou o reconhecimento facial servem apenas para desbloquear a chave dentro do seu aparelho. O site recebe somente uma assinatura criptográfica e nunca tem acesso à sua biometria.
Posso usar passkey e senha ao mesmo tempo?
Sim. A maioria dos serviços mantém a senha como alternativa. Você escolhe como entrar. Com o tempo, alguns serviços permitem remover a senha e deixar apenas a passkey.
Passkey funciona em celular sem biometria?
Funciona. Nesse caso, a confirmação é feita com o PIN, padrão ou senha de bloqueio do aparelho.
Alguém com meu celular desbloqueado pode usar minhas passkeys?
Para usar a passkey, o aparelho pede novamente a biometria ou o PIN. Ainda assim, proteja o celular com bloqueio de tela forte e não compartilhe o PIN.