Passkeys explicadas: como substituem senhas e resistem a phishing

Uma senha precisa ser conhecida tanto por você quanto pelo site, e é exatamente isso que permite roubá-la. Uma chave de acesso é criada para evitar esse problema: não há nada para digitar ou lembrar, e nada que um site falso possa coletar e reutilizar.

Veja o que é uma chave de acesso, como funciona o login com ela, por que ela resiste a phishing e em que aspectos ainda depende de você.

O que é uma chave de acesso

Segundo a FIDO Alliance, grupo do setor responsável pelo padrão, uma chave de acesso (passkey) é uma credencial que permite fazer login em um aplicativo ou site usando o mesmo processo que você usa para desbloquear seu dispositivo, como impressão digital, reconhecimento facial, PIN ou padrão. Ela está vinculada à sua conta em um site específico e substitui tanto a senha quanto, na maioria dos casos, o código adicional.

Por trás do funcionamento, uma chave de acesso é um par de chaves criptográficas. O site armazena a chave pública, que não tem utilidade por si só, enquanto a chave privada permanece no seu dispositivo. Um novo par é criado para cada site, então não é possível reutilizar uma chave de acesso em vários serviços, como se faz com uma senha.

Como funciona o login com uma chave de acesso

Quando você faz login, o site envia um desafio de uso único ao seu dispositivo. Seu dispositivo pede que você o desbloqueie com sua biometria ou PIN e, em seguida, usa a chave privada para assinar o desafio e envia a resposta assinada de volta. O site confere a assinatura usando a chave pública armazenada e permite seu acesso. O NCSC, agência nacional de cibersegurança do Reino Unido, descreve a mesma sequência, na qual a chave privada nunca é compartilhada com o site ou o navegador.

A FIDO afirma que nenhum dado pessoal ou biométrico é transmitido durante o login. A impressão digital ou o reconhecimento facial é usado apenas localmente para desbloquear a chave no seu dispositivo.

Por que as chaves de acesso resistem a phishing

A principal diferença é que uma chave de acesso está vinculada ao domínio do site verdadeiro. O NCSC explica que um autenticador FIDO só oferece credenciais correspondentes ao site que você está acessando, e que a verificação é feita pelo navegador ou aplicativo confiável, de modo que uma página falsa não pode influenciá-la. Não há senha ou código que um site falso possa roubar.

O NCSC compara esse método aos fatores tradicionais de autenticação adicionais e conclui que todos eles, inclusive os códigos de aplicativos autenticadores, são vulneráveis a invasores que retransmitem um login por meio de uma página falsa em tempo real, enquanto as credenciais FIDO2 não são. O órgão também informou que, até a época da publicação, não havia observado ataques à própria autenticação FIDO2 em situações reais, embora invasores tentem direcionar contas para métodos alternativos mais fracos. Por isso, a opção de login mais fraca ainda habilitada em uma conta é importante.

Chaves de acesso sincronizadas e vinculadas ao dispositivo

As chaves de acesso existem em dois formatos. Uma chave sincronizada é armazenada em backup por um serviço de sincronização e fica disponível nos seus outros dispositivos, então perder um dispositivo não significa perder o acesso. Uma chave vinculada ao dispositivo, como a armazenada em uma chave de segurança física, permanece naquele dispositivo e não pode ser copiada.

Cada formato tem suas desvantagens. O NCSC recomenda proteger contra phishing a conta associada a um serviço de sincronização e manter uma forma segura de recuperá-la. O órgão observa que sua análise dos principais serviços próprios de sincronização em 2025 constatou que eles exigiam autenticação de dois fatores para armazenar chaves de acesso, enquanto os serviços de terceiros variavam. Para chaves vinculadas ao dispositivo, recomenda cadastrar uma chave de backup, pois não é possível recuperar uma chave perdida.

O que as chaves de acesso não fazem

Uma chave de acesso protege a etapa de login, não tudo o que acontece em torno dela. Ela não ajuda se alguém tiver seu dispositivo e seu PIN for fraco. O NCSC observa que a recuperação de contas costuma ser mais fraca do que o próprio login e é um alvo dos invasores. Uma chave de acesso também não é uma chave de carteira de criptomoedas. Ela permite fazer login em uma conta, enquanto a frase-semente ou a chave privada de uma carteira controla os fundos em uma carteira sob autocustódia. Uma chave de acesso não protege nem substitui nenhuma delas.

Lembrete da WEEX: uma chave de acesso não é uma frase-semente

A WEEX lembra aos usuários que uma chave de acesso permite fazer login em uma conta, enquanto uma frase-semente ou chave privada controla uma carteira sob autocustódia. Nunca digite uma frase-semente em uma página que peça para você “verificar” ou “restaurar” uma chave de acesso, e nunca a compartilhe com ninguém, inclusive pessoas que digam trabalhar no suporte. Use um PIN forte nos seus dispositivos, mantenha as opções de recuperação da sua conta atualizadas e confira o endereço de um site antes de fazer login. Nada aqui constitui aconselhamento financeiro.

Conclusão

Uma chave de acesso substitui um segredo compartilhado por um par de chaves. Assim, o site nunca guarda algo que possa ser roubado e reutilizado, e um site falso não tem nada para coletar. Isso faz dela um dos métodos de login mais seguros disponíveis para contas pessoais. Ainda assim, ela depende de um dispositivo seguro, de uma conta de sincronização protegida e de uma boa forma de recuperação, e não protege a frase-semente de uma carteira.

FAQ

1. O que é uma chave de acesso?
Uma chave de acesso é uma credencial FIDO que permite fazer login em um aplicativo ou site usando a mesma biometria, PIN ou padrão que você usa para desbloquear seu dispositivo, em vez de uma senha.

2. Qual é a diferença entre uma chave de acesso e uma senha?
Uma senha é um segredo compartilhado que você digita e o site armazena. Uma chave de acesso é um par de chaves, com apenas a chave pública no site, criado separadamente para cada conta e desbloqueado no seu dispositivo.

3. Uma chave de acesso é autenticação de dois fatores?
Quando o login exige sua biometria ou PIN, ele combina algo que você possui — a chave no seu dispositivo — com algo que você é ou sabe. A FIDO afirma que isso pode substituir um código separado, e o NCSC avalia que é equivalente à autenticação de dois fatores.

4. É possível sofrer phishing com uma chave de acesso?
Ela foi desenvolvida para resistir a phishing, pois está vinculada ao domínio do site verdadeiro. Ainda assim, os invasores podem tentar direcionar uma conta para um método alternativo mais fraco, por isso as outras opções de login da conta são importantes.

5. O que acontece se eu perder o dispositivo com minha chave de acesso?
Uma chave sincronizada fica disponível em outros dispositivos na mesma conta de sincronização ou pode ser restaurada ao recuperar essa conta em um novo dispositivo. Uma chave vinculada ao dispositivo não pode ser copiada, então é necessário ter uma chave de backup ou outro método de recuperação.