A passkey é uma chave de acesso digital que substitui a senha tradicional por biometria. Ela usa a impressão digital ou o reconhecimento facial do seu aparelho. Em vez de decorar uma sequência de caracteres, você aprova o login com o mesmo gesto que usa para desbloquear o celular.
Segundo a FIDO Alliance, já existem mais de 5 bilhões de passkeys em uso no mundo em maio de 2026. A tecnologia deixou de ser promessa e virou padrão adotado por Google, Apple e Microsoft. Neste guia, explicamos o que é passkey e como funciona na prática. Veja ainda como criar uma no seu dispositivo e o que fazer se perder o celular.
O que é passkey (e por que substitui a senha)
Uma passkey é uma credencial criptográfica que faz o login sem senha, guardada com segurança no seu dispositivo. Em vez de digitar uma palavra secreta, o aparelho comprova sua identidade usando um par de chaves matemáticas. Dessa forma, existem duas chaves distintas. A chave pública fica com o site ou aplicativo. Já a chave privada permanece no seu aparelho e nunca sai dele.
Além disso, essa arquitetura resolve o maior problema das senhas: o roubo por phishing. Como não existe uma sequência para você digitar, também não há nada para um golpista copiar ou interceptar. A própria FIDO Alliance descreve a tecnologia de forma direta: “diferentemente das senhas, as passkeys são sempre fortes e resistentes a phishing”. Por isso, mesmo que você caia em um site falso, não há credencial para entregar ao atacante.
Vale lembrar que passkey é o nome comercial de um padrão técnico chamado WebAuthn/FIDO2. Esse padrão foi criado pela FIDO Alliance com a W3C. Portanto, quando você lê “chave de acesso” no Google ou no iPhone, trata-se do mesmo conceito. Consequentemente, a mesma lógica de segurança funciona em qualquer serviço que adote o padrão, sem que você precise entender a matemática por trás.
Como funciona o passkey na prática
O passkey funciona com um par de chaves. A pública fica no servidor; a privada nunca sai do seu aparelho. Quando você cria a credencial, o dispositivo gera esse par automaticamente. Em seguida, o site guarda apenas a chave pública, que sozinha não serve para nada.
No momento do login, o serviço envia um desafio matemático para o seu celular. Primeiro, o aparelho pede sua biometria para liberar a chave privada. Depois, ele assina o desafio e devolve a resposta ao servidor. Por fim, o site confere a assinatura com a chave pública e libera o acesso. Todo esse processo acontece em menos de um segundo.
Na prática, isso significa que sua digital ou seu rosto nunca são enviados para o site. A biometria serve apenas para destravar a chave localmente, no seu próprio hardware. Assim, mesmo que o servidor do serviço seja invadido, os vazamentos não expõem senhas reutilizáveis. De fato, essa é a diferença que torna o modelo mais seguro do que qualquer gerenciador de senhas tradicional.
Publicidade
Como criar uma passkey no Google, Apple e Microsoft
Para criar uma passkey, você ativa a chave de acesso nas configurações de segurança da conta e confirma com a biometria. O caminho muda um pouco entre as plataformas, mas o gesto final é sempre o mesmo. Veja a seguir como fazer em cada ecossistema.
No Google (Android e Chrome)
No Android, a passkey fica guardada no Google Password Manager e sincroniza com a sua Conta Google. Primeiro, acesse a página de segurança da conta e procure por “Chaves de acesso”. Em seguida, toque em criar e confirme com a digital. Dessa forma, a credencial passa a valer em qualquer aparelho logado na mesma conta.
Na Apple (iPhone, iPad e Mac)
Nos dispositivos da Apple, as passkeys ficam no Chaveiro do iCloud e sincronizam entre iPhone, iPad e Mac. Ao criar uma conta em um app compatível, o sistema oferece salvar a chave de acesso. Depois, basta aprovar com Face ID ou Touch ID. Por isso, quem já usa o ecossistema Apple raramente precisa configurar algo manualmente.
Na Microsoft (Windows)
No Windows, o Windows Hello gerencia as passkeys usando o PIN, a digital ou a câmera do notebook. Para ativar, entre nas configurações de contas do sistema e habilite a chave de acesso do serviço desejado. Assim, o login acontece direto pelo reconhecimento facial ou pela digital, sem depender do celular.
Na nossa visão, o melhor ponto de partida é a conta de maior alcance. Ou seja, ative a passkey primeiro na Conta Google ou no ID Apple. Afinal, essas contas costumam recuperar todas as outras. Recomendamos, além disso, manter a senha antiga como alternativa durante a transição, até que todos os seus aparelhos estejam sincronizados.
E se eu perder o celular? Como recuperar o acesso com passkey
Se você perder o celular, ainda recupera o acesso porque a passkey é sincronizada na nuvem, não presa a um único aparelho. As chaves salvas no Google Password Manager ou no Chaveiro do iCloud se replicam para os outros dispositivos da mesma conta. Portanto, um novo celular logado na sua conta já traz as credenciais de volta.
Considerando um roubo, o risco real é menor do que parece. Como a chave privada só é liberada pela sua biometria, o ladrão não consegue usá-la sem o seu rosto ou digital. Mesmo assim, recomendamos apagar o aparelho remotamente pelo “Encontre meu dispositivo” e revogar as sessões ativas. Dessa forma, você corta qualquer acesso pendente.
Na transição para um mundo sem senhas, esse é o ponto que mais gera dúvida. Por isso, preferimos orientar que você configure ao menos dois métodos de recuperação antes de abandonar as senhas. A regra aqui é simples: não depender de um único ponto de falha. É a mesma lógica que aplicamos à segurança da rede no guia sobre o que é uma VPN.
Passkey vale a pena? Vantagens e limitações reais
O passkey vale a pena para a maioria dos usuários, mas ainda convive com atritos práticos que vale conhecer. A adoção cresce rápido. Segundo a FIDO Alliance, cerca de 48% dos 100 maiores sites do mundo já suportam a tecnologia, o dobro de 2022. Ainda assim, nem todo serviço que você usa oferece a opção.
Na prática, vários serviços que o brasileiro usa todo dia já aceitam chave de acesso. Por exemplo, o WhatsApp liberou a passkey de forma gradual no Android e no iPhone. Além disso, a Conta Google, o ID Apple e a conta Microsoft suportam o recurso oficialmente. Inclusive, o gov.br passou a oferecer login por chave de acesso em 2026, usando a biometria do próprio aparelho. Por outro lado, boa parte dos bancos brasileiros ainda depende de senha e biometria local, sem adotar o padrão FIDO completo. Portanto, a adoção avança rápido, mas ainda é desigual entre as categorias de serviço.
Entre as vantagens, a primeira é a proteção contra phishing, já que não há senha para vazar. Além disso, o login fica mais rápido e você deixa de gerenciar dezenas de combinações. Inclusive, a FIDO Alliance aponta que 75% das pessoas já ativaram uma passkey em pelo menos uma conta, sinal de que a experiência agrada.
Por outro lado, o atrito aparece na vida real. Quem mistura Android e iPhone, por exemplo, enfrenta sincronização menos fluida entre os dois cofres de chaves. Da mesma forma, trocar de celular ainda exige atenção com backups e login na conta certa. Por isso, na nossa opinião, a passkey brilha quando você vive dentro de um ecossistema, mas exige cuidado extra em ambientes mistos.
Existe, porém, uma saída para esse cenário misto: o login cross-device, também chamado de fluxo hybrid do FIDO. Suponha que sua passkey esteja no Android e você precise entrar num PC ou num iPhone. Nesse caso, a tela do outro aparelho exibe um QR code. Em seguida, você o escaneia com o celular que guarda a chave e confirma com a biometria. Por fim, a proximidade entre os dois é validada por Bluetooth, o que garante que ambos estão perto de verdade.
Dessa forma, a passkey não precisa estar duplicada nos dois cofres. Ou seja, o celular original continua sendo o dono da chave e apenas autoriza o outro dispositivo na hora do login. Assim, você entra em um aparelho de outro ecossistema sem migrar nada, o que suaviza bastante o atrito entre Android e iPhone.
Passkey é diferente de chave de segurança física?
Sim, o passkey sincronizado e a chave de segurança física são coisas diferentes, embora usem o mesmo padrão FIDO2. A passkey comum vive na nuvem e se replica entre seus aparelhos. Já a chave física, como uma YubiKey, é um pequeno dispositivo USB ou NFC que guarda a credencial de forma isolada.
| Critério | Passkey sincronizada | Chave física (YubiKey) |
|---|---|---|
| Onde a chave vive | Na nuvem (Google Password Manager, Chaveiro do iCloud) | Isolada no próprio hardware USB/NFC |
| Recuperação se perder | Volta sozinha em outro aparelho da mesma conta | Só com backup; sem ele, o acesso é perdido |
| Resistência | Resistente a phishing, dependente do cofre na nuvem | Máxima: a credencial nunca toca a internet |
| Quando usar | Dia a dia, com comodidade entre dispositivos | Contas de altíssimo risco (admins, jornalistas) |
A grande distinção está na sincronização. A passkey na nuvem é prática, pois volta sozinha em um novo celular. A YubiKey, por outro lado, nunca sincroniza: a chave só existe naquele hardware. Consequentemente, se você perder a YubiKey e não tiver um backup, perde também aquele acesso.
Então, quando cada uma faz sentido? Para o dia a dia, recomendamos a passkey sincronizada, que combina segurança e comodidade. Já a chave física compensa em contas de altíssimo risco, como as de administradores de sistema ou jornalistas. Nesses casos, o fato de a credencial nunca tocar a internet vira uma vantagem. Essa segurança por hardware aparece em outros contextos do dia a dia. É o caso do guia sobre a melhor fechadura digital com biometria.
Conclusão
Portanto, a passkey representa o caminho mais concreto para o login sem senha que finalmente funciona. Ela troca a fragilidade das senhas por uma chave criptográfica destravada pela sua biometria, o que elimina o phishing e agiliza o acesso. Além disso, com 5 bilhões de credenciais já em uso, o suporte cresce a cada mês nos maiores serviços.
Lembre-se de que a transição pede alguns cuidados simples. Primeiro, ative a passkey na sua Conta Google ou ID Apple. Em seguida, configure ao menos dois métodos de recuperação. Por fim, mantenha a senha antiga como reserva até ter certeza de que todos os aparelhos sincronizam. Dessa forma, você aproveita a segurança do login sem senha sem correr o risco de ficar de fora da própria conta.
Publicidade
