Todo mundo já esqueceu uma senha, reutilizou a mesma em vários sites ou caiu em uma página falsa de login. As passkeys, também chamadas de chaves de acesso, foram criadas para resolver esses três problemas de uma vez. Em vez de digitar uma senha, você confirma que é você com a digital, o rosto ou o PIN do celular.
O que são passkeys
Passkey é uma credencial de login que substitui a senha. Ela é guardada no seu aparelho ou em um gerenciador de senhas e é liberada por um gesto que você já usa todo dia: tocar no leitor de digital, olhar para a câmera ou digitar o PIN de desbloqueio.
Grandes empresas, como Google, Apple e Microsoft, já oferecem esse recurso em suas contas, e cada vez mais sites e aplicativos passam a aceitá-lo. A disponibilidade varia de serviço para serviço, então vale conferir em cada conta.
Como funcionam, de forma simples
Por trás do toque na digital existe um par de chaves criptográficas:
- Chave pública: fica guardada no site ou serviço. Ela não serve para entrar na conta, só para conferir.
- Chave privada: fica no seu aparelho e nunca é enviada ao site. É ela que prova que você é você.
No login, o site envia um desafio. O seu aparelho assina esse desafio com a chave privada depois de você confirmar com biometria ou PIN. O site confere a assinatura com a chave pública e libera o acesso. Em nenhum momento um segredo viaja pela internet, então não há o que interceptar.
Por que passkeys são mais seguras que senhas
- Resistem a phishing: a passkey só funciona no endereço verdadeiro do serviço. Se você cair em uma página falsa, o navegador simplesmente não oferece a chave. Isso muda muito o jogo diante dos golpes que você viu em phishing: o que é e como identificar.
- Não podem ser adivinhadas: não existe senha fraca nem repetida.
- Não vazam do servidor de forma útil: se o site sofrer um vazamento, a chave pública roubada não permite entrar na sua conta.
- Dependem do seu aparelho: o golpista precisaria ter o dispositivo e a biometria ou PIN dele.
- Evitam o código por SMS, que pode ser interceptado ou entregue pela vítima a um golpista.
Onde as passkeys ficam guardadas
Dependendo do aparelho e do serviço, a passkey pode ficar:
- No gerenciador de senhas do Google, vinculado à conta Google, no Android e no Chrome.
- Nas Chaves do iCloud, vinculado à conta Apple, no iPhone, iPad e Mac.
- No Windows, com o Windows Hello (digital, rosto ou PIN).
- Em gerenciadores de senhas de terceiros que suportam o recurso. Veja mais em gerenciador de senhas: vale a pena?.
- Em uma chave de segurança física, pequena e conectada por USB ou aproximação, que não depende de nuvem.
As passkeys guardadas em nuvem são sincronizadas entre os seus aparelhos da mesma plataforma, e isso evita ficar sem acesso ao trocar de celular.
Como criar sua primeira passkey
Os nomes mudam conforme o serviço e a versão do sistema, mas o caminho costuma ser parecido:
- Entre na conta pelo site ou aplicativo e abra as configurações de segurança.
- Procure por “chaves de acesso”, “passkeys” ou “login sem senha”. Em contas Google, por exemplo, o caminho costuma estar em Conta Google, Segurança.
- Toque em criar uma chave de acesso e escolha onde guardá-la, se o aparelho perguntar.
- Confirme com digital, rosto ou PIN.
- Teste o login: saia da conta e entre de novo escolhendo a opção de usar a chave de acesso.
Riscos e cuidados
Passkeys são seguras, mas dependem de alguns cuidados:
- Bloqueio de tela forte: se o PIN do celular for 1234, quem pegar o aparelho tem acesso às passkeys. Use um PIN ou biometria confiável.
- Proteja a conta que sincroniza as passkeys, como a conta Google ou Apple, com verificação em duas etapas e uma senha forte.
- Configure a recuperação: mantenha um e-mail ou telefone de recuperação atualizado e, se possível, um segundo método de acesso.
- Não finja ter passkey onde não há: nem todos os sites aceitam. Nesses casos, continue com senha única e longa, como em como criar uma senha forte.
- Cuidado com aparelhos compartilhados: em computadores de terceiros, use a opção de entrar com o celular, em vez de salvar a chave ali.
Passkey ou senha com verificação em duas etapas
A passkey combina dois fatores em um só gesto: algo que você tem (o aparelho) e algo que você é ou sabe (biometria ou PIN). Por isso, onde ela está ativada, geralmente dispensa a senha e o código extra. Onde ela ainda não existe, a combinação de senha forte e verificação em duas etapas continua sendo a melhor defesa.
Muitos serviços permitem manter os dois métodos ao mesmo tempo no começo, o que dá segurança para testar. Depois de se acostumar, você pode deixar a senha como reserva e usar a chave de acesso no dia a dia.
Para começar hoje, escolha uma conta importante, crie a passkey e faça um teste de login. Se funcionar bem, repita nas outras contas que oferecerem a opção.