Adeus, senhas? Como funcionam as passkeys e por que elas são o futuro do login

Você já perdeu tempo clicando em “esqueci minha senha” pela terceira vez na mesma semana? Essa frustração cotidiana tem um nome técnico: fadiga de senhas. E ela é também uma das maiores portas de entrada para golpes digitais, porque senhas fracas, repetidas ou anotadas em lugares óbvios continuam sendo a causa mais comum de invasões de contas no Brasil e no mundo. É nesse cenário que as passkeys deixaram de ser uma promessa futurista e se tornaram, em poucos anos, uma alternativa real e cada vez mais disponível para login sem senha.

Empresas como Google, Apple, Microsoft, Amazon e uma lista crescente de bancos e aplicativos já oferecem passkeys como opção de acesso. Mas o que exatamente é essa tecnologia, por que especialistas em segurança da informação a tratam como um divisor de águas e o que muda de verdade na sua rotina quando você troca a senha por uma passkey? Este guia explica tudo isso de forma prática, sem jargão desnecessário.

O que é uma passkey, afinal?#

Uma passkey é uma credencial digital que substitui a senha tradicional. Em vez de você memorizar uma sequência de caracteres e digitá-la toda vez que quiser entrar em um site ou aplicativo, a passkey usa o mesmo mecanismo de desbloqueio que você já usa no seu celular ou computador: a impressão digital, o reconhecimento facial ou o PIN do dispositivo. A grande diferença é que essa autenticação biométrica ou por PIN não é enviada para o site que você está acessando — ela apenas libera uma chave criptográfica armazenada localmente no seu aparelho.

Na prática, isso significa que não existe mais um “segredo” digitado que possa ser roubado, interceptado ou adivinhado. A passkey elimina justamente o elo mais frágil da autenticação tradicional: a senha que trafega pela internet e pode ser capturada por um site falso, um teclado espião ou um vazamento de banco de dados.

Como as passkeys funcionam por baixo do capô#

A tecnologia por trás das passkeys se chama FIDO2/WebAuthn, um padrão aberto desenvolvido pela FIDO Alliance com participação de gigantes da tecnologia. O funcionamento se baseia em criptografia de chave pública, o mesmo princípio matemático usado em certificados digitais e assinaturas eletrônicas seguras.

Quando você cria uma passkey para um serviço, o seu dispositivo gera automaticamente um par de chaves: uma pública e uma privada. A chave pública é enviada e armazenada nos servidores do site — sem problema algum se ela vazar, porque sozinha ela não permite login. Já a chave privada nunca sai do seu dispositivo. Ela fica protegida dentro de um componente de segurança do hardware, como o Secure Enclave da Apple ou o TPM (Trusted Platform Module) de notebooks com Windows.

Quando você tenta entrar na sua conta, o site envia um desafio criptográfico. Seu dispositivo usa a chave privada para “assinar” esse desafio, mas só faz isso depois que você se autentica localmente com biometria ou PIN. O site verifica a assinatura com a chave pública que já possui. Se bater, o acesso é liberado. Em nenhum momento uma senha, uma digital ou um rosto trafegam pela internet — apenas uma prova matemática de que você tem a chave privada correta.

Por que passkeys são mais seguras que senhas#

Existem três problemas estruturais das senhas que as passkeys resolvem de uma vez:

• Phishing deixa de funcionar: como a chave privada está atrelada ao site verdadeiro (o navegador verifica o domínio automaticamente), um site clonado simplesmente não consegue completar a autenticação, mesmo que a vítima seja enganada a clicar no link.
• Não há reuso de credenciais: cada passkey é única para cada serviço. Se um site sofrer um vazamento de banco de dados, não existe senha para ser roubada e testada em outras contas, prática conhecida como credential stuffing.
• Ataques de força bruta perdem o sentido: não há uma senha curta ou previsível para ser adivinhada por tentativa e erro, já que a chave criptográfica tem complexidade matemática muito superior à de qualquer senha memorizável por humanos.

Vale destacar que passkeys também resolvem, de forma elegante, o problema da autenticação de dois fatores mal implementada. Como o processo já combina “algo que você tem” (o dispositivo com a chave privada) e “algo que você é” (a biometria que libera essa chave), ela entrega, em uma única etapa, o mesmo nível de proteção que exigiria senha mais segundo fator separado.

Onde você já pode usar passkeys hoje#

A adoção cresceu rapidamente desde 2023. Hoje já é possível configurar passkeys em serviços como conta Google, conta Microsoft, Apple ID, Amazon, PayPal, GitHub, Adobe, WhatsApp (em versões recentes) e diversos aplicativos de bancos digitais brasileiros, que passaram a oferecer a opção como alternativa ao token por SMS. A tendência é que cada vez mais serviços financeiros e de e-commerce adotem o padrão, já que ele reduz drasticamente fraudes por phishing, um dos maiores custos operacionais para essas empresas.

Como criar sua primeira passkey: passo a passo#

O processo é parecido na maioria dos serviços. Usando a conta Google como exemplo:

• Acesse as configurações de segurança da sua conta pelo navegador ou aplicativo.
• Procure a opção “Passkeys” ou “Chaves de acesso” dentro do menu de login e segurança.
• Escolha “Criar passkey” e confirme com a biometria do seu celular ou computador (digital, rosto ou PIN).
• Pronto: da próxima vez que for fazer login, o site vai reconhecer o dispositivo e pedir apenas a confirmação biométrica, sem exigir senha.
• Repita o processo em cada dispositivo que você usa com frequência, como celular pessoal, computador de trabalho e tablet, para não ficar dependente de um único aparelho.

É recomendável manter, pelo menos no início da transição, a senha tradicional como método de recuperação em segundo plano, até que você tenha confiança total no novo sistema e tenha configurado passkeys em todos os dispositivos relevantes.

Limitações e cuidados que ninguém te conta#

Nenhuma tecnologia é perfeita, e as passkeys também têm pontos de atenção. O primeiro é a sincronização entre dispositivos: Apple, Google e Microsoft sincronizam passkeys automaticamente dentro do próprio ecossistema (iCloud Keychain, Google Password Manager, Windows Hello), mas a portabilidade entre ecossistemas diferentes — por exemplo, usar no Android uma passkey criada num iPhone — ainda depende de métodos como leitura de QR Code via Bluetooth, o que nem sempre é intuitivo para usuários menos experientes em tecnologia.

O segundo ponto é a perda do dispositivo. Se o seu único celular com as passkeys for perdido, roubado ou quebrar sem backup na nuvem configurado, recuperar o acesso pode ser mais trabalhoso do que simplesmente redefinir uma senha por e-mail. Por isso, é essencial manter a sincronização em nuvem ativada e, sempre que possível, cadastrar mais de um dispositivo confiável como passkey válida para as contas mais importantes.

Por fim, nem todo site aceita passkeys ainda, e muitos aplicativos legados vão conviver por anos com o sistema de senha tradicional. Isso significa que gerenciadores de senha continuam relevantes durante esse período de transição, funcionando em paralelo às passkeys para os serviços que ainda não migraram.

Passkeys em bancos e serviços financeiros no Brasil#

O setor financeiro brasileiro tem sido um dos mais rápidos a adotar autenticação sem senha, em parte porque fraudes por phishing bancário são um problema caro e recorrente para instituições financeiras. Bancos digitais como Nubank, Inter e C6 Bank já testam ou oferecem métodos de login sem senha tradicional, combinando biometria do dispositivo com validações no padrão FIDO2. Para o correntista, isso representa uma dupla vantagem: menos telas de digitação de senha em um ambiente público (como o transporte coletivo) e uma barreira estrutural muito mais forte contra os aplicativos falsos e páginas clonadas que tentam capturar credenciais bancárias.

Vale observar que, mesmo com passkeys ativadas para o login inicial, operações financeiras sensíveis — como transferências de valores altos ou alterações cadastrais — continuam, na maioria dos bancos, exigindo camadas adicionais de confirmação, como biometria facial em tempo real ou senha transacional específica. Isso é proposital: a passkey resolve o problema de acesso à conta, mas instituições financeiras mantêm verificações extras para transações de risco elevado, seguindo normas de segurança do Banco Central.

Perguntas frequentes sobre passkeys#

• Se eu perder o celular, perco acesso a tudo? Não, desde que a sincronização em nuvem esteja ativada (iCloud Keychain, Google Password Manager). Ao configurar um novo dispositivo com a mesma conta Apple, Google ou Microsoft, as passkeys sincronizadas ficam disponíveis automaticamente após a autenticação no novo aparelho.
• Passkey substitui completamente a necessidade de gerenciador de senhas? Ainda não, porque nem todo serviço suporta passkeys. Na prática, gerenciador de senhas e passkeys coexistem: um cuida dos serviços que já migraram, o outro dos que ainda não migraram.
• Alguém pode roubar minha passkey de dentro do meu celular? É extremamente difícil, porque a chave privada fica protegida em um componente de hardware isolado (Secure Enclave ou TPM), que não expõe esse dado nem para o próprio sistema operacional do aparelho.
• Preciso pagar para usar passkeys? Não. É um padrão aberto, gratuito, já integrado aos sistemas operacionais modernos e à maioria dos navegadores atuais.
• Funciona em computadores mais antigos? Depende da versão do sistema operacional e do navegador. Versões relativamente recentes de Windows 10/11, macOS e das principais distribuições Linux já possuem suporte, assim como Chrome, Edge, Safari e Firefox em versões atualizadas.

Passkeys e a experiência do usuário no dia a dia#

Além do ganho de segurança, vale destacar um benefício que costuma ser subestimado: a experiência de uso é objetivamente mais rápida. Em vez de digitar um endereço de e-mail, uma senha longa e ainda esperar um código de verificação por SMS, o login com passkey se resume a um toque no sensor de digital ou um relance para o reconhecimento facial, processo que costuma levar menos de dois segundos. Para quem faz login com frequência em aplicativos bancários ou de trabalho ao longo do dia, essa economia de tempo se acumula de forma perceptível, e reduz a irritação associada a fluxos de autenticação tradicionais, especialmente em telas pequenas de celular, onde digitar senhas complexas é notoriamente desconfortável.

Passkeys vão substituir totalmente as senhas?#

A resposta honesta é: gradualmente, sim, mas não da noite para o dia. Assim como aconteceu com a migração de cartões com tarja magnética para chip e depois para aproximação, a troca de senhas por passkeys deve ocorrer aos poucos, serviço por serviço, ao longo dos próximos anos. Grandes players do setor já sinalizaram que pretendem tornar as passkeys o método padrão, relegando a senha a uma opção de backup cada vez mais rara.

Para o usuário comum, a recomendação prática é simples: sempre que um serviço importante oferecer a opção de criar uma passkey, vale a pena configurá-la. O ganho de segurança é real, o processo de login fica mais rápido no dia a dia e você reduz drasticamente o risco de cair em golpes de phishing, hoje a porta de entrada mais comum para o roubo de contas pessoais e corporativas. Trocar senha por passkey não é apenas seguir uma tendência tecnológica — é fechar, de forma concreta, uma das brechas de segurança mais exploradas por criminosos digitais.

Um paralelo histórico: a transição já aconteceu antes#

Quem acompanhou a migração de cartões com tarja magnética para cartões com chip, e depois para pagamento por aproximação, já viveu uma transição parecida em outro contexto. No início, poucos estabelecimentos aceitavam a nova tecnologia, muitos usuários desconfiavam e preferiam o método antigo por familiaridade, e havia um período longo de convivência entre os dois sistemas. Anos depois, a tarja magnética se tornou residual, usada apenas como último recurso em situações excepcionais. É razoável esperar uma curva de adoção parecida para as passkeys: nos próximos anos, cada vez mais serviços vão empurrar suavemente os usuários para o novo método, até que a senha tradicional se torne a exceção, reservada a sistemas legados que nunca foram atualizados.

Para quem se sente inseguro com a mudança, vale lembrar que nenhum serviço sério vai remover o acesso à conta simplesmente por você preferir continuar usando senha por mais tempo — a coexistência entre os dois sistemas deve durar anos, dando tempo suficiente para qualquer pessoa se adaptar no seu próprio ritmo, sem pressa nem risco de ficar bloqueada para fora das próprias contas.