Passkeys em 2026: como usar chaves de acesso com segurança

Você recebe um aviso de login, precisa lembrar uma senha e ainda confirmar um código. Para quem usa e-mail, ferramentas de trabalho e serviços financeiros, essa rotina se repete várias vezes. As passkeys, chamadas de chaves de acesso, permitem entrar em serviços compatíveis usando o desbloqueio de um dispositivo, com impressão digital, rosto ou PIN.

A facilidade é útil, mas merece uma configuração cuidadosa: onde a chave fica guardada, quem consegue desbloquear o aparelho e como você recupera a conta. Neste guia do Viva de Casa, vamos explicar o funcionamento e organizar uma primeira adoção sem depender de um único celular.

O que muda em relação à senha

Uma senha é um segredo que você digita. A passkey utiliza um par de chaves criptográficas ligado à sua conta: o serviço conhece a parte pública, enquanto a parte privada é usada pelo dispositivo ou pelo gerenciador autorizado para confirmar o acesso. Você aprova a operação com o mecanismo de desbloqueio disponível.

A FIDO Alliance explica o padrão e distingue chaves sincronizadas de chaves vinculadas a um aparelho. As primeiras podem estar disponíveis em outros dispositivos pelo gerenciador compatível; as segundas exigem atenção ao dispositivo onde foram criadas. Não presuma que toda chave aparecerá automaticamente no seu próximo telefone.

Por que isso ajuda contra páginas falsas

A passkey é associada ao serviço para o qual foi criada. Isso dificulta o golpe que imita uma página de login para coletar a senha: não há uma sequência de caracteres para você entregar, e a autenticação considera o destino correto. Essa resistência ao phishing é uma das vantagens centrais do padrão.

Ela não decide por você se uma compra, mensagem ou transferência é legítima. Uma conta protegida ainda pode ser usada em uma situação de manipulação. Se alguém se passa por um familiar e pede dinheiro, a segurança do login não valida a história. Nosso guia do golpe de voz clonada explica esse outro tipo de risco.

Antes de criar: confira três coisas

• Controle do aparelho: escolha um dispositivo pessoal, atualizado e protegido por bloqueio de tela.
• Conta correta: confira se você está no serviço e no perfil em que pretende adicionar a chave.
• Recuperação: verifique se os meios de recuperação cadastrados continuam sob seu controle e se você entende as alternativas oferecidas.

O Google recomenda criar chaves apenas em dispositivos seus e de uso frequente. Quem consegue desbloquear um aparelho com uma chave disponível pode conseguir acessar a conta. Um computador compartilhado pela família ou usado no trabalho exige uma avaliação diferente de um telefone pessoal protegido.

Como começar pela sua Conta do Google

O e-mail costuma ser um bom ponto de partida porque participa da recuperação de outros cadastros. Faça a configuração em um momento tranquilo, com acesso aos meios de recuperação, e siga a ajuda oficial do Google.

1. Acesse as configurações da sua Conta do Google pelo aplicativo ou endereço oficial.
2. Na área de segurança e login, procure chaves de acesso; confira qual conta está selecionada.
3. Escolha criar uma chave e confirme o desbloqueio solicitado no seu dispositivo.
4. Verifique a chave na lista e teste uma nova entrada, mantendo suas alternativas de recuperação.

Os nomes e a disponibilidade podem variar conforme aparelho, navegador e política de contas corporativas. Adicionar uma passkey não significa, por si só, eliminar os métodos anteriores de autenticação ou recuperação. Evite apagar alternativas apenas porque o primeiro teste funcionou.

O que observar no iPhone

Na documentação da Apple, a função também aparece como chave-senha. Em um site ou app compatível, siga a opção de criação apresentada pelo próprio serviço e confirme com Face ID, Touch ID ou o método disponível. O funcionamento exige os recursos compatíveis e a configuração indicada pelo sistema.

A Apple orienta ativar as Chaves do iCloud e a autenticação de dois fatores para usar chaves-senha. As credenciais ficam criptografadas nas Chaves do iCloud. Antes de trocar de aparelho, confira sua Conta Apple e os requisitos de acesso; não conte apenas com a lembrança de que “estava tudo no celular”.

Se o serviço pedir uma chave já existente ou oferecer opções diferentes, consulte a orientação oficial para iPhone. Um passo a passo de outro sistema pode ter nomes de menus e condições diferentes.

Biometria, PIN e recuperação são coisas diferentes

A biometria confirma localmente que você pode usar a credencial. Ela não transforma sua impressão digital em uma senha que você envia ao site. A documentação da FIDO descreve esse processamento local; o serviço recebe a confirmação de autenticação, não a imagem do seu dedo ou rosto.

O PIN de desbloqueio também merece cuidado. Não envie PIN, código de recuperação ou código de autenticação a alguém que promete cadastrar ou “consertar” sua chave. Numa solicitação inesperada, pare e confira o contexto. Facilitar o login não deve virar o hábito de aprovar qualquer pedido na tela.

Se quiser revisar as outras camadas de proteção, leia nossos guias de verificação em duas etapas e senhas e gerenciadores. A passkey é uma opção dentro dessa organização, e a recuperação precisa acompanhar a mudança.

Como se preparar para perder ou trocar o celular

Faça uma pequena lista das contas essenciais: e-mail principal, conta do sistema do aparelho e ferramentas que você usa para trabalhar. Em cada uma, confira onde as chaves ficam armazenadas e quais métodos alternativos o serviço permite. Quando disponível e adequado, um segundo dispositivo confiável pode reduzir a dependência do primeiro.

Ao trocar de telefone, teste os acessos no novo aparelho antes de apagar o antigo. Verifique sincronização, recuperação e as chaves que ficaram vinculadas a um dispositivo específico. Uma conferência antecipada evita descobrir uma incompatibilidade justamente quando você precisa emitir uma nota, atender um cliente ou recuperar um arquivo.

Se o aparelho for perdido, use um dispositivo confiável para seguir os procedimentos oficiais de proteção e recuperação. No Google, a orientação é remover a chave do dispositivo perdido ou roubado. Confira também os acessos ativos e siga as instruções do fornecedor para proteger o aparelho e o gerenciador utilizado.

Um começo pequeno que você consegue verificar

Você não precisa modificar todas as contas no mesmo dia. Escolha um serviço compatível, confira a recuperação, crie uma chave e teste o acesso. Registre onde a credencial ficou guardada, sem anotar segredos em um documento exposto. Depois, avance para os outros serviços conforme entender suas opções.

Ao final, tente responder: qual aparelho permite entrar, quem consegue desbloqueá-lo e qual é o caminho se ele deixar de funcionar? Se essas respostas estiverem claras, a praticidade da passkey vem acompanhada de uma organização que você consegue manter.