Uma passkey autentica por assinatura de chave privada, enquanto o serviço guarda a chave pública. Passkeys sincronizadas podem transferir credenciais criptografadas entre dispositivos; as vinculadas ao dispositivo não sincronizam. MFA depende da verificação do usuário exigida, e a proteção do dispositivo, da conta de sincronização e da recuperação continua importante.
A chave privada não é enviada ao serviço de login
FIDO2/WebAuthn usa um par de chaves. O serviço recebe a chave pública e verifica assinaturas, sem receber a chave privada. Passkeys sincronizadas podem sincronizar credenciais criptografadas por um provedor; as vinculadas ao dispositivo ficam no autenticador. Proteja também a conta de sincronização e a recuperação.
Senha
você e o servidor compartilham um segredo. roubada se o servidor vazar ou se você digitá-la em um site falso
Passkey
Uma chave pública vazada não basta para criar a assinatura privada necessária para entrar.
"O servidor tem só a chave pública" é o que importa. Uma chave pública, por definição, pode ser publicada, então mesmo que o banco de dados vaze, ela não pode ser usada para fazer login por si só (a premissa oposta ao armazenamento de senhas → o que é hashing).
Como difere de senha + SMS
Senha + código SMS
- O segredo compartilhado (senha) pode vazar / encadeia via reuso
- Digite-a em um site falso e o código é retransmitido também
- Tende a depender de "eu consigo identificar o falso"
Passkey
- Uma chave pública vazada não basta para criar a assinatura privada necessária para entrar.
- A assinatura está vinculada ao domínio = não se completa em site falso
- Bloqueia o site falso por design, mesmo que o usuário não perceba
O phishing com invasor no meio (AiTM) retransmite o código correto junto com todo o resto, mesmo que você o digite com cuidado (→ o que é phishing). Como a assinatura de uma passkey está atrelada ao domínio, esse caminho fica fechado em princípio.
Passkey vs 2FA vs chave de segurança física
A passkey é descrita tanto como "um tipo de 2FA" quanto como "um substituto da senha", então os termos se confundem com facilidade. Lado a lado, por papel:
| Passkey | Senha + senha de uso único | Chave de segurança física | |
|---|---|---|---|
| O que você usa para entrar | assinatura vinculada ao domínio; PIN ou biometria quando a verificação é exigida | Uma string memorizada + um código (em geral de 6 dígitos) | Uma chave privada dentro de uma chave USB/NFC + PIN ou toque |
| O que o servidor guarda | Uma chave pública | Um hash da senha (mais o segredo que gera os códigos, no caso de aplicativos autenticadores) | Uma chave pública |
| Se você a usar em um site falso | A assinatura não se completa | Senha e código podem ser retransmitidos | A assinatura não se completa |
| Se você perder o dispositivo | Passkeys sincronizadas funcionam em outro dispositivo | Precisa migrar o autenticador ou usar códigos de recuperação | Pode ser necessária uma chave reserva ou outra recuperação aceita |
| Indicada para | Quase todo uso pessoal | Serviços sem suporte a passkey | Contas de administrador, pessoas de alto risco |
Uma chave física compatível com FIDO2 pode guardar uma passkey vinculada ao dispositivo sem sincronização na nuvem. Uma chave reserva ou outra recuperação aceita ajuda a evitar bloqueio. o que é autenticação de dois fatores / o que é uma senha de uso único (OTP).
Passkeys sincronizadas e passkeys vinculadas ao dispositivo
As passkeys são de dois tipos, conforme onde ficam armazenadas.
- Passkeys sincronizadas: armazenadas no Porta-chaves do iCloud, no Gerenciador de Senhas do Google ou em um aplicativo gerenciador de senhas, e utilizáveis nos seus outros dispositivos conectados à mesma conta. Perder um dispositivo tem menos chance de deixar você sem acesso
- Passkeys vinculadas ao dispositivo: ficam só dentro do dispositivo que as criou, como uma chave de segurança física. Como não sincronizam, você controla exatamente onde elas estão
NIST SP 800-63B-4 (julho de 2025) permite autenticadores sincronizáveis em AAL2 quando cumprem os requisitos aplicáveis, incluindo verificação do usuário e proteção da infraestrutura de sincronização. AAL3 exige chaves não exportáveis e controles adicionais; uma chave sem sincronização não garante conformidade por si só. Escolha conforme o nível exigido, a segurança do dispositivo e da conta de sincronização e as condições de recuperação.
Pontos fracos que continuam depois de adicionar uma passkey
Mesmo que a passkey em si resista a sites falsos, uma conta é tão forte quanto a sua porta de entrada mais fraca.
- O login por senha continua ativo: em muitos serviços, adicionar uma passkey mantém o login por senha e por código SMS. Um site falso vai pedir esse método restante em vez da passkey
- Recuperação fraca: se a recuperação da conta exige só um SMS ou o e-mail cadastrado, esse vira o caminho de entrada. Proteja também com passkey a própria conta de e-mail de recuperação
- Bloqueio de tela fraco: a passkey fica utilizável quando você desbloqueia o dispositivo, então evite um PIN de tela fácil de adivinhar
Um exemplo real: sequestro de contas em corretoras e passkeys obrigatórias
Em 2025, o Japão viu muitos casos em que IDs de login e senhas roubados por sites falsos que se passavam por corretoras de valores foram usados para fazer operações não autorizadas nas contas de outras pessoas. A Financial Services Agency (FSA) do Japão diz em sua página de alerta que o MFA resistente a phishing, como passkeys, está se tornando obrigatório, e pede que os usuários o configurem logo.
A Japan Securities Dealers Association (JSDA) revisou sua diretriz sobre prevenção de acesso não autorizado em negociações online, com vigência a partir de 15 de outubro de 2025. Ela exige que as corretoras implementem MFA resistente a phishing (por exemplo, autenticação baseada em passkey ou em PKI) para ações importantes como login, saques e alteração da conta bancária de saque, e que o tornem obrigatório por padrão. Clientes sem o dispositivo necessário devem receber um MFA alternativo.
Duas lições deste caso:
- O setor passou da "atenção do usuário" para o "design": pedir às pessoas que identificassem sites falsos não parou as perdas, então o padrão passou a ser uma autenticação que não se completa em um site falso
- Os exemplos citados são passkeys e PKI, não métodos em que uma pessoa lê e digita um código: o NIST também diz que senhas de uso único digitadas manualmente não podem ser resistentes a phishing
Para passos concretos como cliente de corretora — login com passkey e notificações de atividade — veja nosso artigo sobre o acesso não autorizado no terceirizado da Daiwa Securities (em inglês).
Como verificar suas próprias contas e serviços
Veja se suas contas importantes aceitam passkeys
Procure uma opção de "passkey" nas configurações de segurança das suas contas de e-mail, gerenciador de senhas, nuvem, corretora e banco, e GitHub. A lista do seu gerenciador de senhas também mostra quais serviços já têm uma passkey salva.
Registre um segundo dispositivo ou uma chave reserva
Com passkeys sincronizadas, confirme que elas funcionam em outro dispositivo conectado à mesma conta. Se você usa chaves físicas que não sincronizam, registre uma reserva e guarde-a em outro lugar.
Feche as portas laterais da senha e do SMS
Depois de adicionar uma passkey, verifique se ainda dá para entrar ou recuperar a conta só com a senha ou só com um código SMS. Se houver uma configuração para dispensar a senha ou remover o SMS, use-a. Guarde os códigos de recuperação em um lugar separado, como o seu gerenciador de senhas.
Se você desenvolve o serviço, verifique o domínio e a recuperação
Ao implementar passkeys (WebAuthn), verifique no servidor se a assinatura está restrita ao seu domínio (o RP ID) e à sua origem. Não escreva a verificação de assinatura você mesmo; use uma biblioteca consolidada. E, se continuar existindo um caminho de recuperação que precisa só de SMS, ele vira o ponto fraco mesmo depois que as passkeys entrarem no ar.
A visão deste site: você não precisa substituir tudo de uma vez
Passkeys são poderosas, mas você não precisa ficar totalmente sem senha em todas as contas hoje. Nossa posição: migre primeiro as contas importantes. Adicione passkeys às contas que você usa para recuperar ou gerenciar suas outras contas — e-mail, nuvem, seu gerenciador de senhas — e configure a recuperação (registre em vários dispositivos, mantenha um backup). Para serviços onde uma senha permanece, proteja-os com um gerenciador de senhas e MFA resistente a phishing, e então migre para passkeys conforme cada serviço adicionar suporte.
Fontes (primárias)
- FIDO Alliance, "Passkeys" — fidoalliance.org (definição, passkeys sincronizadas vs vinculadas ao dispositivo, resistência a phishing)
- W3C, "Web Authentication: An API for accessing Public Key Credentials Level 3" — w3.org (credenciais restritas ao RP ID e à origem)
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" (julho de 2025) — pages.nist.gov (passkeys sincronizadas permitidas no AAL2, mas não no AAL3; o que conta como resistente a phishing; comparação biométrica no dispositivo)
- Japan Securities Dealers Association, revisão da diretriz sobre prevenção de acesso não autorizado em negociações online (15 de outubro de 2025, em japonês) — jsda.or.jp (PDF)
- Financial Services Agency do Japão, alerta sobre acesso e negociações não autorizados em serviços de corretagem online (em japonês) — fsa.go.jp
- passkeys.dev (orientações para desenvolvedores que implementam passkeys) — passkeys.dev
Leia a seguir
- Aprenda: como escolher um gerenciador de senhas (ele também cuida do armazenamento/sincronização de passkeys)
- Em duas etapas: escolhendo o MFA do jeito certo (o que significa resistência a phishing) / configurando o 2FA no GitHub (adicionar uma passkey como reserva)
- Como funciona: como armazenar senhas com segurança / Glossário: o que é phishing
- Glossário: o que é autenticação de dois fatores / o que é uma senha de uso único (OTP) (os métodos com que as passkeys são comparadas)