Pense na última vez que você esqueceu uma senha. Você tocou em “Esqueci minha senha”, esperou um e-mail, inventou outra e esqueceu essa também. Senhas são uma ideia dos anos 1960 e falham conosco de duas maneiras: são chatas para nós e úteis para os criminosos. Uma passkey (chave de acesso) resolve as duas coisas.
A resposta rápida: uma passkey permite entrar com a mesma digital, reconhecimento facial ou PIN que você usa para desbloquear o celular. Não há nada para digitar nem para lembrar, e nada que um golpista possa enganar você para obter. Leva cerca de um minuto para configurar em cada conta.
Por que as senhas continuam falhando
Uma senha é um segredo que você compartilha com um site. Essa frase explica quase todo o problema, porque tudo o que é compartilhado pode ser copiado, adivinhado ou roubado. Veja como isso dá errado:
- Nós as reutilizamos. Lembrar uma senha diferente para cada conta é quase impossível, então usamos a mesma em vários lugares. Quando um site é invadido, os criminosos testam essa senha no seu e-mail e no seu banco.
- Nós as fazemos fracas. Senhas curtas e familiares (um nome, uma data de aniversário, “123456”) são fáceis de adivinhar por um programa.
- Sites são invadidos. Uma empresa pode proteger sua senha com cuidado e ainda assim perdê-la. Senhas roubadas costumam ser vendidas e testadas em outros sites.
- Nós somos enganados. Phishing é um e-mail, mensagem ou site falso que parece verdadeiro e pede que você entre. Se você digita sua senha nele, o criminoso passa a tê-la. Até pessoas cuidadosas caem, porque as falsificações podem parecer perfeitas.
O problema central: com uma senha, o segredo viaja. Você o digita, ele atravessa a internet e o site o confere. Cada etapa é uma chance para alguém capturá-lo. Uma passkey foi feita para que o segredo nunca viaje.
O que é uma passkey
Uma passkey é uma forma de provar quem você é sem compartilhar um segredo. Ela fica salva no seu dispositivo (celular, notebook ou tablet) e é liberada com o mesmo método que você já usa para desbloquear esse dispositivo.
Pense em um cadeado e sua chave. Quando você cria uma passkey, seu dispositivo gera um par que se encaixa:
- O cadeado (chave pública) vai para o site. Qualquer um pode vê-lo, mas ele só serve para conferir a sua prova. Ele não abre a sua conta.
- A chave (chave privada) fica no seu dispositivo e nunca sai dele. É a única coisa capaz de provar que é realmente você.
O site nunca vê a sua chave, então não há nada que valha a pena roubar no site.
Como funciona o login
Você configura a passkey uma única vez. Depois disso, cada login acontece assim:
- Você acessa o site e escolhe entrar. Seu dispositivo oferece a sua passkey.
- O site envia um enigma aleatório de uso único.
- Você confirma com a digital, o rosto ou o PIN. Isso permite que o dispositivo use a chave.
- Seu dispositivo resolve o enigma com a chave e devolve apenas a resposta.
- O site confere a resposta com o cadeado. Se encaixar, você entra.
O enigma é diferente a cada vez, então uma cópia de uma resposta antiga não serve para nada. Um ladrão que tenha gravado o seu último login não consegue repeti-lo.
Para os curiosos: os padrões abertos por trás disso se chamam FIDO2 e WebAuthn. É por isso que as passkeys funcionam da mesma forma em dispositivos Apple, Google e Microsoft. Você nunca precisa conhecê-los para usar uma passkey.
Por que é mais segura
1. Um site falso não consegue enganar você
Esse é o maior ganho. Uma passkey fica atrelada ao endereço exato do site para o qual foi criada. Se você cair em uma cópia falsa do seu banco, seu dispositivo simplesmente não oferece a passkey, porque o endereço está errado. Não há senha para digitar na página falsa, então não há nada a roubar. Funciona mesmo quando você está cansado ou com pressa, porque não depende de você perceber o golpe.
2. Um site invadido não dá nada de útil aos ladrões
Se um site que guarda senhas é invadido, os criminosos levam segredos que podem testar em outros lugares. Se um site que guarda passkeys é invadido, eles levam apenas cadeados, e um cadeado não consegue fazer login por ninguém.
3. Não dá para reutilizar nem enfraquecer
Cada passkey pertence a um único site e é criada pelo seu dispositivo, então é sempre longa e aleatória. Não existe uma versão “123456”, e o problema de um site não se espalha para outro.
4. É mais rápida
Entrar leva um toque ou um olhar. Sem digitar, sem e-mail de redefinição e sem código para copiar. Ser mais seguro e mais simples ao mesmo tempo é raro em segurança.
Lembre assim: uma senha diz “aqui está o meu segredo, por favor confira”. Uma passkey diz “aqui está a prova de que eu tenho o segredo, e não vou mostrá-lo a você”.
Suas duas maiores dúvidas
“Minha digital é enviada?”
Não. Sua digital ou o reconhecimento facial apenas libera a chave no seu próprio dispositivo, exatamente como desbloqueia o celular. O site nunca a recebe. Não usa biometria? O PIN ou o padrão da tela também funciona.
“E se eu perder o celular?”
A maioria das passkeys tem backup em formato embaralhado, de modo que só você consegue abri-las. Pegue um dispositivo novo, entre na mesma conta e elas voltam.
| Onde a passkey fica salva | Se você perder o dispositivo |
|---|---|
| Apple (Chaveiro do iCloud) | Entre em um novo dispositivo Apple e suas passkeys voltam |
| Gerenciador de Senhas do Google | Entre na sua conta Google em um novo dispositivo |
| Um gerenciador de senhas (como 1Password ou Bitwarden) | Desbloqueie seu cofre em um novo dispositivo |
| Uma chave de segurança física | Use a reserva, então compre duas |
Usar um notebook que não guarda sua passkey também funciona. O notebook mostra um QR code, você o escaneia com o celular e o celular confirma. O celular precisa estar por perto, o que impede que atacantes distantes usem esse caminho.
Senhas vs passkeys
| Pergunta | Senha | Passkey |
|---|---|---|
| Preciso lembrar? | Sim | Não |
| Um segredo é enviado ao site? | Sim | Não, só uma resposta |
| Um site falso pode roubá-la? | Sim, se você for enganado | Não, só funciona no site verdadeiro |
| O que uma invasão do site revela? | Senhas para testar em outros lugares | Cadeados que não abrem nada |
| Funciona em todo lugar? | Sim | Ainda não, mas está crescendo rápido |
Configure uma em cinco minutos
Os nomes dos menus mudam de tempos em tempos, então procure por “passkey” ou “opções de login” nas configurações de segurança da sua conta.
- Comece pela sua conta de e-mail principal. Ela é a chave para redefinir todo o resto, então proteja-a primeiro.
- Encontre “Criar uma passkey” nas configurações de segurança do Google, da Apple, da Microsoft ou de qualquer outro site que ofereça.
- Confirme com a digital, o rosto ou o PIN quando o dispositivo pedir.
- Veja onde ela foi salva. O ideal é um lugar sincronizado, como o Chaveiro do iCloud, o Gerenciador de Senhas do Google ou o seu gerenciador de senhas, para que haja backup.
- Teste. Saia da conta e entre novamente com a passkey.
Por enquanto, mantenha sua senha antiga e confirme que o e-mail e o telefone de recuperação estão atualizados. Depois, vá adicionando outras contas com o tempo: seu banco, lojas online e redes sociais são bons próximos passos.
O que as passkeys não resolvem
Passkeys são uma grande melhoria, não mágica.
- Nem todo site já oferece. Mantenha um gerenciador de senhas e senhas únicas para os demais.
- A recuperação de conta é o ponto fraco. Se um site permite redefinir uma conta só com e-mail ou SMS, um criminoso pode pular a passkey. Mantenha seguros o e-mail e o telefone de recuperação.
- O bloqueio do celular importa. Uma passkey é tão segura quanto a forma como você desbloqueia o dispositivo. Use um PIN forte e nunca o compartilhe.
- Software malicioso no dispositivo ainda é um risco. Mantenha o celular e o computador atualizados.
- Computadores públicos ou compartilhados. Nunca salve uma passkey em um computador usado por outras pessoas.
A versão curta
- Senhas falham porque são segredos compartilhados que são reutilizados, vazados e alvo de phishing.
- Uma passkey é um cadeado para o site e uma chave que fica no seu dispositivo.
- Sua digital ou seu rosto nunca saem do dispositivo.
- Passkeys sincronizadas sobrevivem a um celular perdido.
- Comece pelo e-mail e adicione uma conta de cada vez.
Uma passkey não pede que você seja mais cuidadoso, lembre mais coisas ou perceba todos os golpes. Ela remove em silêncio o elo mais fraco da segurança online: uma pessoa digitando um segredo em uma caixa. Comece hoje com a conta que você mais odiaria perder.