Passkeys: o login sem senha que resiste a phishing

Toda vez que você digita uma senha, cria um segredo que pode vazar, ser roubado ou entregue a um site falso. Não à toa, a credencial roubada virou o principal vetor de invasão. O abuso de credencial abriu 22% dos ataques; o phishing, outros 16%, segundo o Verizon DBIR 2025. A passkey ataca esse problema pela raiz. Ela troca a senha por um par de chaves criptográficas guardado no seu aparelho, destravado pela mesma biometria ou PIN que você já usa. Vale separar o trabalho: a autenticação de dois fatores adiciona um segundo fator à senha; a passkey elimina o segredo digitável de vez. Aqui, você vê como ela funciona e como ativar.

Resumo rápido: Uma passkey (ou “chave de acesso”) substitui a senha por um par de chaves criptográficas. A privada nunca sai do seu aparelho; a pública fica no site. Ela resiste a phishing por construção porque só funciona no domínio real, sem código para entregar a golpista. Segundo a Microsoft (2025), o login por passkey tem 98% de sucesso, contra 32% da senha. Google, Apple e Microsoft já suportam. O limite real: o gov.br ainda não usa passkey, e ela não protege um aparelho já infectado.

O que é uma passkey, afinal?

Uma passkey é uma credencial que troca a senha por um par de chaves criptográficas. Já conhecida por 74% das pessoas em 2025 (FIDO Alliance, 2025), ela guarda a chave privada no aparelho. Ao site, entrega apenas a metade pública. Você a destrava com a biometria ou o PIN de sempre.

A ideia vem da criptografia de chave pública. Pense na chave pública como um cadeado que o site guarda: qualquer um pode fechá-lo, mas só a sua chave privada abre. A parte secreta mora num chip protegido do aparelho: o Secure Enclave no iPhone, o TPM no computador. Assim, não existe senha para vazar num banco de dados. O site guarda só a metade pública, que sozinha não serve para entrar.

Essa é a virada de chave do modelo. Sem segredo compartilhado, não há lista de senhas para roubar em massa nem código para digitar na tela errada. Quer entender o par de chaves a fundo? O guia sobre criptografia de chave pública destrincha o mecanismo passo a passo.

Por que a passkey resiste a phishing “por construção”?

Porque não existe segredo para entregar a um site falso. A passkey só assina o login do domínio real ao qual foi criada, então uma página clonada não recebe nada de útil. O NIST chama isso de resistência à personificação do verificador: uma proteção que não depende de você farejar o golpe (NIST SP 800-63B-4, 2025).

A diferença é estrutural, não fruto da sua atenção. Uma senha ou um código de SMS podem ser digitados em qualquer lugar, inclusive na tela falsa que imita o seu banco. A passkey, não: ela está amarrada ao endereço verdadeiro do site e se recusa a funcionar em outro. Por isso o phishing clássico, que pesca o que você digita, simplesmente não tem o que pescar.

Essa leitura tem respaldo oficial. A CISA, agência de cibersegurança dos Estados Unidos, classifica o padrão FIDO2/WebAuthn como o “padrão-ouro” resistente a phishing. Ela avisa que SMS e notificação por push não entram nessa categoria (CISA, 2025). Uma ressalva necessária: isso reduz o phishing por construção, não te torna invulnerável. Um aparelho já infectado ou uma recuperação frágil seguem sendo portas.

Como funciona o login, passo a passo?

O login acontece em três movimentos. O site manda um desafio; o seu aparelho assina esse desafio com a chave privada. O site confere a assinatura usando a chave pública que guarda. Nenhum segredo viaja pela rede. Se a assinatura bate, a porta abre, e a biometria só serve para liberar a chave no aparelho.

Repare no que muda em relação à senha. A cada login, o desafio é diferente, então a assinatura de hoje não abre a conta amanhã. Não há segredo fixo circulando para alguém interceptar e reusar. É esse detalhe que fecha a porta para o phishing e para o vazamento em massa.

Sincronizada ou física: onde sua passkey fica guardada

Existem dois tipos, e a diferença é onde a chave mora. A passkey sincronizada acompanha a sua conta de nuvem e aparece em todos os seus aparelhos. No iPhone, ela viaja pelo iCloud Keychain com criptografia de ponta a ponta, que “nem a Apple consegue ler” (Apple, 2025). A passkey de dispositivo mora só numa chave física, como uma YubiKey.

A passkey sincronizada não é “menos segura” que a física: ela apenas move o ponto de confiança para a sua conta de nuvem. Se essa conta tem uma senha longa e 2FA forte, o elo se mantém firme. Vale registrar um segundo caminho de recuperação desde o começo: uma passkey extra ou a verificação em duas etapas da conta de nuvem. A chave física troca a comodidade da sincronização pela garantia de que a chave nunca existe em outro lugar. Para a maioria, a sincronizada resolve; a física fica para quem administra segredos valiosos.

Ativar passkeys no Google, Apple e Microsoft

O caminho é parecido em toda conta: entre nas configurações de segurança e procure “chave de acesso” ou “passkey”. No Google, já são mais de 400 milhões de contas e mais de 1 bilhão de autenticações por passkey (Google, 2024). O login sai 50% mais rápido que o da senha. Quando ativei a minha, o acesso virou só a digital do celular. Veja onde começar nas três maiores plataformas.

Um detalhe prático facilita a vida. Muitos gerenciadores de senhas já guardam passkeys e as sincronizam entre navegadores diferentes, sem prender você a um único fabricante. Assim, o mesmo cofre que hoje cria senhas fortes passa a abrigar as suas chaves de acesso. Comece pelas contas que destravam as outras: e-mail primeiro, depois redes sociais.

Passkey já funciona em todo lugar?

Ainda não, mas o avanço é rápido. Em maio de 2025, 48% dos 100 maiores sites do mundo já ofereciam passkey (FIDO Alliance, 2025). Onde ela existe, o ganho salta. A Microsoft mediu 98% de sucesso de login com passkey, contra 32% com senha. E o login fica cerca de 8 vezes mais rápido.

Vale parar no gráfico um segundo:

O gráfico explica por que as gigantes empurram a mudança: menos senha esquecida, menos conta trancada, menos golpe. Ainda assim, o Brasil tem um limite concreto que vale conhecer. A conta gov.br não usa passkey: ela segue no CPF com senha e, para níveis mais altos, no certificado digital ICP-Brasil (gov.br, 2025). Enquanto a passkey não chega lá, proteja essa conta com senha longa e única mais 2FA de aplicativo.

Passkeys na prática: por onde começar

Guarde este trio e o login sem senha deixa de ser mistério:

• A passkey elimina o segredo, não só adiciona um fator. Sem senha para digitar, o phishing perde o alvo;
• A resistência é por construção. A chave só assina o domínio verdadeiro, então você não precisa farejar o golpe para estar protegido, como define o NIST (2025);
• Comece hoje pelas contas que destravam as outras. Ative a passkey no seu e-mail e no seu gerenciador. Onde ela ainda não existe, como no gov.br, mantenha senha forte e 2FA de aplicativo. Lembre que a chave não protege um aparelho já infectado nem dispensa um plano de recuperação.

A trilha de Segurança Digital ainda reserva alguns endereços. Se você quer o passo anterior, veja como a autenticação de dois fatores blinda o que ainda usa senha. E, para organizar suas chaves num só lugar, confira como funcionam os gerenciadores de senhas.

Perguntas frequentes

Se eu perder o celular, perco minhas passkeys?

Não, se elas forem sincronizadas. A passkey guardada na sua conta de nuvem volta assim que você entra nela de um aparelho novo, como no iPhone via iCloud Keychain. Só as passkeys de chave física dependem de uma chave reserva. Por isso, cadastre sempre um segundo caminho de recuperação.

Passkey substitui o 2FA?

Em parte, sim. A passkey já combina dois fatores num passo: algo que você tem (o aparelho) e algo que você é (a biometria). Onde a conta só oferece passkey, ela sozinha basta. Onde ainda existe senha, mantenha a autenticação de dois fatores ativa como segunda camada.

Preciso pagar por uma chave física?

Não. As passkeys sincronizadas do seu celular ou computador são gratuitas e já cobrem o dia a dia da maioria das pessoas. A chave física, como uma YubiKey, é um item pago e opcional, indicado para contas de alto risco. Para começar, você não gasta nada.

Passkey funciona no gov.br?

Ainda não. Em 2025, a conta gov.br usa CPF com senha e, para níveis Prata e Ouro, o certificado digital ICP-Brasil, sem suporte a passkey. Enquanto isso não muda, proteja essa conta com uma senha longa e única mais a verificação em duas etapas pelo aplicativo oficial gov.br.