Chaves de acesso explicadas: como substituem as palavras-passe e resistem ao phishing

Uma palavra-passe tem de ser conhecida por si e pelo site, e é precisamente isso que a torna suscetível de ser roubada. Uma chave de acesso foi concebida para evitar essa situação: não há nada para escrever, nada para memorizar e nada que um site falso possa recolher e reutilizar.

Eis o que é uma chave de acesso, como funciona o início de sessão com uma, porque resiste ao phishing e em que aspetos continua a depender de si.

O que é uma chave de acesso

Segundo a FIDO Alliance, o grupo do setor responsável pela norma, uma chave de acesso é uma credencial que lhe permite iniciar sessão numa aplicação ou num site através do mesmo processo que utiliza para desbloquear o dispositivo, como uma impressão digital, o reconhecimento facial, um PIN ou um padrão. Está associada à sua conta num site específico e substitui tanto a palavra-passe como, na maioria dos casos, o código adicional.

Por trás do funcionamento, uma chave de acesso é um par de chaves criptográficas. O site guarda a chave pública, que por si só é inútil, enquanto a chave privada permanece no seu dispositivo. É criado um novo par para cada site, pelo que uma chave de acesso não pode ser reutilizada em vários serviços como uma palavra-passe.

Como funciona o início de sessão com uma chave de acesso

Quando inicia sessão, o site envia ao seu dispositivo um desafio de utilização única. O dispositivo pede-lhe para o desbloquear com os dados biométricos ou o PIN e, em seguida, utiliza a chave privada para assinar o desafio e envia a resposta assinada. O site verifica a assinatura com a chave pública armazenada e permite-lhe aceder à conta. O NCSC, a agência nacional de cibersegurança do Reino Unido, descreve a mesma sequência, na qual a chave privada nunca é partilhada com o site nem com o navegador.

A FIDO afirma que não são transmitidos dados pessoais nem biométricos durante o início de sessão. A impressão digital ou o reconhecimento facial são utilizados apenas localmente para desbloquear a chave no seu dispositivo.

Porque é que as chaves de acesso resistem ao phishing

A principal diferença é que uma chave de acesso está associada ao domínio do site verdadeiro. O NCSC explica que um autenticador FIDO só disponibiliza credenciais que correspondem ao site em que realmente se encontra e que a verificação é feita pelo navegador ou pela aplicação em que confia, pelo que uma página falsa não a pode influenciar. Não há nenhuma palavra-passe ou código que um site semelhante possa roubar.

O NCSC compara este método com os fatores de autenticação secundários tradicionais e conclui que todos eles, incluindo os códigos de aplicações autenticadoras, são vulneráveis a atacantes que retransmitem um início de sessão através de uma página falsa em tempo real, enquanto as credenciais FIDO2 não o são. O NCSC também referiu que, à data da publicação, não tinham sido observados ataques à própria autenticação FIDO2, embora os atacantes tentem levar os utilizadores a recorrer a métodos alternativos menos seguros. Por isso, a opção de início de sessão mais fraca que ainda esteja ativada numa conta é importante.

Chaves de acesso sincronizadas e associadas ao dispositivo

Existem dois tipos de chaves de acesso. Uma chave de acesso sincronizada tem uma cópia de segurança através de um serviço de sincronização e fica disponível nos seus outros dispositivos, pelo que perder um dispositivo não implica perder o acesso. Uma chave de acesso associada ao dispositivo, como uma guardada numa chave de segurança física, permanece nesse dispositivo e não pode ser copiada.

Cada tipo tem as suas vantagens e desvantagens. O NCSC recomenda proteger contra phishing a conta associada a um serviço de sincronização e manter uma forma segura de a recuperar. Também refere que, em 2025, a sua análise dos principais serviços de sincronização próprios concluiu que estes exigiam autenticação de dois fatores para guardar chaves de acesso, enquanto os serviços de terceiros variavam. No caso das chaves de acesso associadas ao dispositivo, recomenda que os utilizadores registem uma cópia de segurança, uma vez que não é possível recuperar uma chave perdida.

O que as chaves de acesso não fazem

Uma chave de acesso protege a etapa de início de sessão, não tudo o que a rodeia. Não ajuda se alguém tiver o seu dispositivo e conhecer um PIN fraco. O NCSC também observa que a recuperação de contas é muitas vezes menos segura do que o próprio início de sessão e é um dos alvos dos atacantes. Uma chave de acesso também não é uma chave de carteira de criptomoedas. Permite-lhe iniciar sessão numa conta, enquanto a frase-semente ou a chave privada de uma carteira controlada pelo próprio dá acesso aos fundos, e uma chave de acesso não protege nem substitui nenhuma delas.

Lembrete da WEEX: uma chave de acesso não é uma frase-semente

A WEEX lembra aos utilizadores que uma chave de acesso permite iniciar sessão numa conta, enquanto uma frase-semente ou chave privada controla uma carteira controlada pelo próprio. Nunca introduza uma frase-semente numa página que lhe peça para a utilizar para «verificar» ou «recuperar» uma chave de acesso e nunca a partilhe com ninguém, incluindo pessoas que afirmem pertencer ao apoio ao cliente. Utilize um PIN seguro nos seus dispositivos, mantenha as opções de recuperação da conta atualizadas e verifique o endereço de um site antes de iniciar sessão. Este conteúdo não constitui aconselhamento financeiro.

Conclusão

Uma chave de acesso substitui um segredo partilhado por um par de chaves, pelo que o site nunca guarda algo que possa ser roubado e reutilizado, e um site falso não tem nada para recolher. Isso faz dela um dos métodos de início de sessão mais seguros disponíveis para contas pessoais. Ainda depende de um dispositivo seguro, de uma conta de sincronização protegida e de um método de recuperação adequado, e não protege a frase-semente de uma carteira.

Perguntas frequentes

1. O que é uma chave de acesso?
Uma chave de acesso é uma credencial FIDO que lhe permite iniciar sessão numa aplicação ou num site utilizando os mesmos dados biométricos, PIN ou padrão que utiliza para desbloquear o dispositivo, em vez de uma palavra-passe.

2. Em que difere uma chave de acesso de uma palavra-passe?
Uma palavra-passe é um segredo partilhado que escreve e que o site guarda. Uma chave de acesso é um par de chaves, do qual apenas a chave pública fica no site. É criada separadamente para cada conta e desbloqueada no seu dispositivo.

3. Uma chave de acesso é autenticação de dois fatores?
Quando o início de sessão exige os seus dados biométricos ou o PIN, combina algo que tem — a chave no seu dispositivo — com algo que é ou que sabe. A FIDO afirma que pode substituir um código separado, e o NCSC considera-a equivalente à autenticação de dois fatores.

4. É possível fazer phishing a uma chave de acesso?
Foi concebida para resistir ao phishing, uma vez que está associada ao domínio do site verdadeiro. Os atacantes ainda podem tentar levar uma conta a recorrer a um método alternativo menos seguro, pelo que as outras opções de início de sessão disponíveis numa conta são importantes.

5. O que acontece se perder o dispositivo que tem a minha chave de acesso?
Uma chave de acesso sincronizada fica disponível noutros dispositivos associados à mesma conta de sincronização ou pode ser restaurada através da recuperação dessa conta num novo dispositivo. Uma chave de acesso associada ao dispositivo não pode ser copiada, pelo que é necessária uma chave de cópia de segurança ou outro método de recuperação.