Uma passkey é uma credencial criptográfica que substitui a senha. Em vez de você escolher uma palavra secreta e o site guardar uma versão dela, o seu aparelho gera um par de chaves: a chave privada fica guardada no celular, no notebook ou numa chave física e nunca sai de lá; a chave pública fica com o serviço. Para entrar, você desbloqueia o aparelho com biometria ou PIN e ele assina um desafio enviado pelo site. Não há nada digitável para ser roubado, reaproveitado ou entregue a um golpista por engano.
O que é uma passkey, na prática
Por baixo, a tecnologia é o padrão WebAuthn/FIDO2, o mesmo que já era usado em chaves de segurança USB. A novidade das passkeys é que o "cofre" virou o próprio aparelho que você já carrega, e o sistema operacional cuida do armazenamento — Chaveiro do iCloud no iPhone e no Mac, Gerenciador de Senhas do Google no Android, Windows Hello no PC, além de gerenciadores independentes como Bitwarden e 1Password.
Um detalhe que confunde muita gente: a sua digital ou o seu rosto não são enviados para o site. A biometria serve apenas para destravar a chave privada dentro do aparelho. O serviço só recebe uma assinatura matemática e a confirmação de que o desbloqueio aconteceu.
Como é o login no dia a dia
O fluxo é mais curto do que digitar senha. Você abre o site ou o app, toca no campo de login e o sistema já sugere a passkey daquele domínio. Aparece o Face ID, a leitura de digital ou o PIN do aparelho, e pronto — sem código por SMS, sem "esqueci minha senha", sem preencher nada.
Quando você quer entrar num computador que não é seu, o site mostra um QR Code. Você aponta a câmera do celular, confirma com biometria e a autenticação acontece por uma ligação Bluetooth de curto alcance entre os dois aparelhos, o que impede que alguém use um QR Code falso enviado por mensagem. O computador estranho nunca chega a ver a sua chave.
Por que uma passkey resiste ao phishing
Esta é a vantagem que realmente importa. Cada passkey nasce amarrada à origem do site — o domínio exato onde foi criada. Se você cair numa página falsa hospedada em algo como "banco-seguranca-online.com", o navegador simplesmente não encontra nenhuma passkey correspondente e não oferece nada para assinar. Não existe o momento em que o usuário, com pressa, digita a senha no lugar errado.
Isso também elimina o golpe mais comum contra a verificação em duas etapas: a página falsa que pede o código de seis dígitos e o repassa ao site verdadeiro em tempo real. Como não há segredo compartilhado para copiar, o intermediário fica sem nada nas mãos. E como cada serviço tem sua própria chave, o vazamento de um banco de dados não expõe credenciais reutilizáveis em outros sites.
Onde as passkeys já funcionam
A adoção deixou de ser experimento. Google, Apple, Microsoft, Amazon, PayPal, WhatsApp, TikTok, LinkedIn, GitHub, Nubank e diversos bancos brasileiros já aceitam passkeys, e o suporte está pronto em Chrome, Safari, Edge e Firefox em versões recentes de iOS, Android, Windows e macOS.
Mesmo assim, boa parte da internet ainda não migrou: sistemas corporativos antigos, órgãos públicos, lojas menores e serviços internos continuam pedindo senha. Para todos esses, a resposta continua sendo uma frase secreta longa e única, gerada de forma aleatória e guardada num gerenciador. Se você nunca montou uma, vale entender como criar uma frase secreta forte antes de sair trocando senhas no impulso.
Os pontos fracos que ninguém deveria esconder
Passkeys são melhores que senhas, mas não são mágica. Vale conhecer os limites antes de apagar tudo:
- Perda do aparelho. Se a passkey só existe num celular que quebrou, você depende do método de recuperação do serviço — que muitas vezes é… um e-mail com link, justamente o elo fraco que se queria eliminar.
- Sincronização amarrada à plataforma. Chaves criadas no ecossistema Apple sincronizam entre aparelhos Apple; o mesmo vale para o Google. Migrar de sistema ainda é trabalhoso, embora o padrão de exportação entre gerenciadores esteja avançando.
- Segurança do desbloqueio. A passkey vale o que vale o PIN do aparelho. Um PIN de quatro dígitos óbvio derruba boa parte do ganho.
- Implementações pela metade. Alguns serviços tratam a passkey como atalho e mantêm a senha antiga ativa em paralelo, o que preserva a superfície de ataque que você queria fechar.
O veredito honesto
Ative passkeys onde forem oferecidas, começando pelas contas que servem de chave-mestra: o seu e-mail principal, o banco e o gerenciador de senhas. Cadastre a passkey em pelo menos dois aparelhos, ou guarde os códigos de recuperação impressos em algum lugar seguro, para não ficar trancado do lado de fora.
Para todo o resto — a maioria dos sites, ainda —, mantenha a dupla que já funciona: uma frase secreta forte e diferente para cada serviço somada à verificação em duas etapas por aplicativo. Vale trocar SMS por códigos TOTP gerados no navegador, e entender antes o que é um código TOTP ajuda a configurar sem susto. Todas essas ferramentas gratuitas estão na página inicial do 1mail.
Perguntas frequentes
Se eu perder o celular, perco a conta?
Não, desde que a passkey esteja sincronizada na conta da plataforma ou cadastrada em outro aparelho. Configure um segundo dispositivo assim que ativar a primeira passkey.
Passkey substitui a verificação em duas etapas?
Sim, na prática ela já combina posse do aparelho e desbloqueio biométrico. Mas mantenha o segundo fator ativo nos serviços que ainda dependem de senha.
O site fica com a minha digital?
Não. A biometria nunca sai do aparelho; ela apenas libera o uso da chave privada armazenada localmente.
