Tecnologia & segurança
Passkeys: por que a senha finalmente começou a perder espaço
Em 2026, as chaves de acesso chegaram à escala de bilhões. A mudança parece pequena — entrar com rosto, digital ou PIN — mas altera uma das peças mais frágeis da internet: a senha que pode ser digitada no lugar errado.
Durante décadas, segurança digital significou inventar uma senha difícil, lembrar dela e torcer para não reutilizá-la. Depois vieram códigos por SMS, aplicativos autenticadores e gerenciadores de senha. As passkeys tentam mudar a pergunta: e se não houvesse uma senha para roubar?
A ideia deixou de ser nicho. Em maio, a FIDO Alliance estimou que cerca de 5 bilhões de passkeys já estavam em uso no mundo. Em uma pesquisa com 11 mil consumidores de dez países, 75% disseram ter ativado pelo menos uma chave de acesso. É um sinal forte de adoção, embora esses números não representem diretamente o Brasil, que não fez parte da amostra.
O que acontece quando você toca em “entrar com passkey”
Ao criar uma passkey, o dispositivo gera um par de chaves criptográficas. Uma parte pública fica registrada no serviço; a parte privada permanece sob controle do seu dispositivo ou do gerenciador de credenciais. Para usá-la, você desbloqueia o aparelho com biometria, PIN ou padrão.
Isso é importante porque o site não precisa guardar uma senha secreta sua. Segundo a documentação do Google, o servidor armazena apenas a chave pública. Mesmo que essa informação seja exposta, ela não funciona como uma senha que alguém pode simplesmente reutilizar para entrar na conta.
O phishing perde uma de suas armas favoritas
Uma senha pode ser entregue a um site falso porque quem decide onde digitá-la é você. Uma passkey é vinculada ao site ou aplicativo que a registrou. O navegador e o sistema operacional verificam essa relação antes de autenticar.
O ganho não é ter uma senha “mais forte”. É deixar de existir um segredo que possa ser convencido a funcionar no site errado.
Google e Apple descrevem passkeys como resistentes a phishing justamente por esse vínculo com o domínio correto. Isso não torna uma conta invulnerável — golpes de recuperação, dispositivos comprometidos e engenharia social continuam existindo —, mas remove um caminho de ataque extremamente comum.
Seu rosto não é enviado para o site
Esse ponto costuma causar confusão. Quando o celular pede Face ID, impressão digital ou PIN, ele está verificando se quem está tentando usar a credencial é o dono autorizado do dispositivo. A biometria serve para desbloquear a passkey; ela não vira a passkey e não é enviada ao site como uma senha.
O site recebe
Uma prova criptográfica de que a chave correta foi usada.
O site não recebe
Sua impressão digital, seu rosto ou o PIN usado para desbloquear o aparelho.
E se eu perder o celular?
Perder o aparelho não deveria significar perder todas as contas. Ecossistemas como Google e Apple podem sincronizar passkeys entre dispositivos protegidos pela mesma conta, e alguns fluxos permitem usar um telefone próximo para entrar em outro computador. A experiência exata, porém, depende do serviço e do gerenciador de credenciais usado.
Por isso, ativar uma passkey não é motivo para ignorar os métodos de recuperação. Vale manter endereço de e-mail e telefone atualizados, proteger bem a conta que sincroniza suas credenciais e revisar dispositivos conectados de tempos em tempos.
Vale ativar?
Para a maioria das contas importantes, sim
Priorize e-mail, banco, redes sociais e contas que dão acesso a outros serviços.
Se o serviço oferecer passkey e você usa um aparelho pessoal protegido por PIN ou biometria, a troca tende a reduzir o risco de phishing.
Não remova métodos de recuperação antes de confirmar que sua passkey está sincronizada ou disponível em outro dispositivo confiável.
Continue desconfiando de pedidos de recuperação de conta, suporte falso e aprovações inesperadas.
A senha não morreu — mas deixou de ser inevitável
A internet ainda vai conviver com senhas por bastante tempo. Nem todo serviço aceita passkeys, nem todo dispositivo está atualizado e a recuperação de conta continua sendo um ponto delicado. A mudança relevante de 2026 é outra: o login sem senha já não é uma demonstração de laboratório.
Quando bilhões de credenciais já estão em uso e grandes plataformas as tratam como uma opção normal de login, a velha recomendação “crie uma senha impossível de adivinhar” começa a ganhar uma alternativa mais interessante: não dê ao golpe uma senha para pedir.