O que é uma passkey?

Uma passkey é uma chave digital única que substitui a sua palavra-passe. Quando cria uma, são geradas duas chaves digitais associadas: uma é armazenada em segurança no seu gestor de credenciais e a outra é partilhada com o website ou aplicação. Quando inicia sessão, o seu dispositivo verifica quem é através do seu rosto, impressão digital ou PIN do dispositivo, e depois usa a sua parte da passkey para provar de forma segura quem você é. A sua chave privada nunca é partilhada com o website.

Uma palavra-passe é um segredo que sabe e digita num website. Uma passkey é uma chave digital única armazenada no seu gestor de credenciais que não precisa de memorizar nem digitar. Cada passkey é exclusiva para o website ou aplicação para o qual foi criada, pelo que não pode ser adivinhada, capturada por phishing ou reutilizada noutras contas como acontece com uma palavra-passe.

A autenticação de dois fatores tradicional, ou 2FA, geralmente adiciona outro passo após introduzir a sua palavra-passe, como um código enviado por SMS ou gerado por uma app. Uma passkey pode substituir tanto a palavra-passe como estes passos adicionais, verificando com segurança que possui a sua passkey e confirmando quem é através do seu rosto, impressão digital ou PIN do dispositivo. Alguns websites ainda podem exigir verificação adicional, dependendo de como implementaram as passkeys.

O FIDO2 é o padrão técnico aberto sobre o qual as passkeys são construídas. Não precisa de saber os pormenores técnicos — basta saber que "passkey" é o nome amigável para aquilo que o FIDO2 torna possível, e é a razão pela qual as passkeys funcionam da mesma forma entre sistemas operativos, websites, aplicações, dispositivos e gestores de credenciais de diferentes empresas.

Uma chave de segurança física pode armazenar uma passkey, mas não precisa de uma para começar a usar passkeys. A maioria dos utilizadores armazena as suas passkeys num gestor de credenciais no telemóvel, computador ou noutros dispositivos. As chaves de segurança físicas são outra opção para armazenar as suas passkeys e podem ser úteis para quem deseja uma forma adicional de iniciar sessão.

Não. A sua impressão digital ou reconhecimento facial é processado localmente pelo seu dispositivo apenas para confirmar que é você. As suas informações biométricas nunca saem do seu dispositivo e nunca são partilhadas com o website ou aplicação.

Precisa de ter acesso à sua passkey através do seu gestor de credenciais e de uma forma de verificar a sua identidade, como o seu rosto, impressão digital ou PIN do dispositivo. Na maioria dos casos, não precisa de transferir nada novo, porque o seu telemóvel ou computador já traz um gestor de credenciais integrado de fábrica.

Uma palavra-passe é partilhada com um website quando inicia sessão. O PIN do seu dispositivo é usado localmente para verificar quem é e não é partilhado com o website. Quando usa uma passkey, o PIN do dispositivo pode ser uma das formas pelas quais o dispositivo confirma que está autorizado a usá-la. O PIN ou código do aparelho nunca é partilhado com o website ou aplicação.

Normalmente num de dois sítios: no armazenamento seguro integrado do seu dispositivo (um chip protegido e isolado do resto do telemóvel/computador) ou no seu gestor de credenciais, se utilizar um. Em geral, não consegue "ver" a chave bruta, à semelhança de como não consegue ver o código criptográfico de uma palavra-passe armazenada — mas pode consultar e gerir a lista de passkeys que criou nas definições da sua conta ou no gestor de credenciais.

Não, as passkeys pertencem-lhe a si e estão vinculadas ao website, não à Google/Apple/Microsoft. Essas empresas oferecem um local para as armazenar e sincronizar (semelhante à forma como oferecem um espaço para guardar e sincronizar as suas fotografias). No entanto, tenha em atenção que, se perder o acesso a essa conta, poderá não conseguir aceder-lhes num novo dispositivo. Se não se sentir confortável com isso, pode optar por armazenar as suas passkeys num gestor de credenciais diferente.

Quando um website ou aplicação oferecer suporte a passkeys, procure por opções como “Criar uma passkey” ou “Configurar passkey” nas definições de conta ou de segurança. O seu dispositivo pedirá para verificar a sua identidade através do rosto, impressão digital ou PIN do dispositivo. A sua passkey será criada e guardada no seu gestor de credenciais. Alguns websites e aplicações sugerem a configuração logo após iniciar sessão.

Muitos websites e aplicações estão a adicionar passkeys como uma forma mais fácil e segura de iniciar sessão. Criar uma passkey permite utilizá-la em vez de escrever a sua palavra-passe na próxima vez que iniciar sessão. Consoante o website, a sua palavra-passe pode continuar disponível como alternativa de início de sessão ou de recuperação de conta.

Isto acontece geralmente quando está num dispositivo ou navegador novo que ainda não reconhece a sua passkey. Assim que estiver configurada também nesse dispositivo, o aviso deverá desaparecer. Trata-se de uma fase transitória na implementação de alguns sites, e não de um problema com a sua passkey.

Alguns sites ainda não atualizaram completamente os seus sistemas, pelo que continuam a solicitar o 2FA tradicional por precaução. Embora seja redundante, é inofensivo e deverá desaparecer à medida que os sites terminam a transição.

As passkeys foram concebidas precisamente para serem usadas assim, mas alguns sites continuam a exigir a criação de uma palavra-passe, mesmo que pretenda iniciar sempre sessão com a passkey, funcionando como método de salvaguarda para recuperação de conta.

Neste momento, alguns websites ainda exibem mensagens adicionais (como "deseja usar uma passkey?") enquanto habituam os utilizadores à nova opção. À medida que se tornar padrão, será extremamente rápido: confirme a sua identidade com o rosto, impressão digital ou PIN e entra de imediato.

Sim, muitos websites e aplicações permitem atribuir rótulos a cada passkey. Isto facilita saber qual remover se perder um dispositivo. Mas tenha em mente que a maioria das passkeys estará disponível em todos os seus dispositivos, pelo que dar-lhes o nome do aparelho pode gerar confusão. Vários sites preenchem automaticamente com o nome do gestor de credenciais onde as guardou (ex.: Google Password Manager, Apple Passwords, Bitwarden). Se o nome não for gerado automaticamente, pondere usar o nome do gestor de credenciais em vez do dispositivo.

Estes avisos podem partir de um website, navegador ou gestor de credenciais; logo, desativá-los depende da respetiva origem. Verifique as definições de passkeys, início de sessão ou preenchimento automático no seu navegador ou gestor de credenciais.

Depende de onde a sua passkey está armazenada. Muitos gestores de credenciais conseguem sincronizar as suas passkeys em segurança entre dispositivos; logo, uma passkey criada no telemóvel também pode ficar disponível no seu portátil ou tablet. Algumas passkeys ficam guardadas apenas num dispositivo específico e não sincronizam. Se a sua passkey não estiver disponível no aparelho em uso, poderá continuar a usar uma passkey de outro dispositivo, como o seu telemóvel, para iniciar sessão.

Sim, caso o seu gestor de credenciais suporte ambos os dispositivos e a sincronização de passkeys. Caso contrário, as passkeys de cada dispositivo permanecem separadas.

O suporte para mover passkeys entre gestores de credenciais está a melhorar, mas ainda não se encontra universalmente disponível. A viabilidade de mover as suas passkeys depende dos gestores de credenciais envolvidos e das funcionalidades atualmente suportadas; o nosso guia de avaliação de gestores de credenciais lista quais os que suportam isto de momento. Procure pelo critério "Troca de Credenciais".

Isto acontece quando o portátil e o telemóvel estão associados para a sincronização de passkeys, e o sistema faz uma confirmação de segurança através de ambos os aparelhos para certificar que é realmente você. Pode parecer confuso, mas funciona exatamente como previsto.

Poderá utilizar uma passkey guardada no seu telemóvel ou tablet para entrar noutro equipamento sem ter de armazenar a passkey nesse dispositivo. Procure pela opção “Usar outro dispositivo” ao iniciar sessão. Será normalmente apresentado um código QR para ler com o seu telemóvel e concluir a autenticação.

Sim, embora a experiência nem sempre seja direta. Passkeys guardadas no gestor de credenciais de uma plataforma não sincronizam necessariamente com outra. Por exemplo, se a sua passkey estiver guardada no Apple Passwords e estiver a iniciar sessão num computador com Windows, poderá ter de usar o iPhone lendo um código QR. Se costuma usar dispositivos e navegadores de ecossistemas diferentes, escolher um gestor de credenciais multiplataforma tornará o uso de passkeys muito mais simples. Consulte a nossa tabela de avaliações de gestores de credenciais para comparar as opções com melhor suporte entre dispositivos, sistemas operativos e navegadores. E se precisar de transferir passkeys existentes, certifique-se de que o próximo gestor de credenciais tem uma pontuação elevada na categoria Troca de Credenciais.

Se as suas passkeys forem sincronizadas pelo seu gestor de credenciais, ficarão acessíveis novamente assim que iniciar sessão no gestor de credenciais num novo equipamento. Se uma passkey ficou guardada exclusivamente no dispositivo que perdeu, precisará de outro método para aceder ou recuperar a sua conta. Por este motivo, usar um gestor de credenciais é muito vantajoso para garantir que consegue sempre aceder às suas contas.

A capacidade de recuperar as suas passkeys depende do seu gestor de credenciais e de como o configurou. Os gestores de credenciais adotam abordagens distintas quanto à recuperação de conta, cópias de segurança e acesso através de novos dispositivos, pelo que convém conhecer essas opções antecipadamente. Consulte a nossa avaliação de gestores de credenciais para comparar como cada opção trata da segurança, recuperação e legado digital. Se não conseguir recuperar as suas passkeys, terá de recorrer ao processo de recuperação de conta de cada website ou aplicação.

Sim. As passkeys não estão associadas ao seu número de telefone — estão vinculadas à sua conta no gestor de credenciais ou ao dispositivo físico; logo, mudar de operadora não terá impacto. Certifique-se apenas de que consegue aceder ao seu gestor de credenciais no novo aparelho antes de se desfazer do atual.

Alguns gestores de credenciais já suportam esta funcionalidade, enquanto outros ainda não. Se ter o controlo absoluto das suas cópias de segurança for importante para si, consulte as opções de exportação específicas do seu gestor de credenciais.

Depende de como as suas passkeys são armazenadas. Se o seu gestor de credenciais sincronizar as passkeys entre os seus dispositivos, geralmente não precisará de múltiplas passkeys por conta. Mas se a passkey estiver guardada em exclusivo num único aparelho, ou se quiser uma rota de acesso alternativa, criar passkeys adicionais é uma excelente prática.

Alguns sites disponibilizam essa configuração nas opções avançadas de segurança da conta, embora não seja uma norma universal. Verifique as definições de segurança do serviço específico.

Utilize uma passkey sempre que o website ou aplicação oferecer essa opção. A viabilidade de remover por completo a palavra-passe depende da plataforma: algumas permitem contas exclusivas com passkeys, enquanto outras mantêm a palavra-passe como via alternativa ou de recuperação. Caso decida remover a palavra-passe, garanta que possui outro método fiável para entrar ou recuperar a conta caso perca o acesso à sua passkey.

Sim. As passkeys foram projetadas para proteger contra phishing e outros ataques habituais que roubam credenciais e códigos de verificação. Cada passkey é única para o website ou aplicação onde foi criada, não podendo ser adivinhada, reutilizada noutros sites ou induzida a autenticar num endereço falso.

Alguém só conseguiria usar as suas passkeys se conseguisse também desbloquear o seu dispositivo (impressão digital, rosto ou PIN), já que isso é obrigatório para usar qualquer passkey nele guardada. Para um atacante remoto, isto é substancialmente mais difícil do que roubar uma palavra-passe.

Sim, tecnicamente consegue, embora para a grande maioria dos inícios de sessão diários isso não faça diferença — ambas são encaradas com o mesmo grau de confiança.

Sim, mas o risco difere substancialmente de uma fuga tradicional de palavras-passe. As passkeys não são segredos reutilizáveis, pelo que um atacante não pode simplesmente roubar uma passkey e usá-la para iniciar sessão na sua conta. Além disso, as suas passkeys estão resguardadas pelos mecanismos de segurança do seu gestor de credenciais e dos dispositivos que utiliza para lhe aceder. Daí a importância de optar por um serviço seguro. Consulte as nossas pontuações de gestores de credenciais para comparar como cada opção resguarda as suas passkeys e a sua conta.

Às vezes. Alguns gestores de credenciais permitem partilhar passkeys de forma segura com familiares ou outras pessoas de confiança. A possibilidade de partilhar depende do gestor de credenciais que utiliza e de o website ou aplicação aceitar credenciais partilhadas. Consulte as nossas avaliações de gestores de credenciais para ver quais as ferramentas que suportam partilha familiar.

Isto varia consoante o seu gestor de credenciais. Alguns disponibilizam funcionalidades como acesso de emergência, contactos de herança ou outras opções de sucessão digital que ajudam pessoas de confiança a aceder às suas contas ou credenciais numa emergência. Se isto for importante para si, configure-o com antecedência. Veja as nossas pontuações de gestores de credenciais para comparar o suporte a herança digital em cada opção.

Não necessariamente. Se perder o acesso à conta principal da qual o seu gestor de credenciais depende, poderá também perder o acesso às passkeys armazenadas ou sincronizadas através dele. O que acontece depende do fornecedor e das vias de recuperação previamente configuradas. É por este motivo que é fundamental compreender as opções de recuperação do seu gestor de credenciais. Consulte as nossas análises de gestores de credenciais para avaliar as alternativas.

Não por conceção. Na prática, a indústria ainda está a adaptar-se ao suporte de migração de passkeys, mas a maioria dos gestores de credenciais mais populares já suporta a migração segura de credenciais, incluindo passkeys, para outro serviço. O suporte para Troca de Credenciais está em forte expansão em todo o ecossistema. Consulte a categoria "Permite-lhe mudar de serviço" na secção de pontuações de gestores de credenciais.

A tecnologia subjacente suporta isto, mas nem todas as empresas criaram ainda as ferramentas para facilitar o processo. Trata-se de uma lacuna de recursos e não de uma limitação estrutural das passkeys.

É uma crítica justa. Uma vez que as passkeys ainda são uma novidade para a maioria dos utilizadores, muitos websites ainda não investiram em explicações simples e intuitivas. É uma lacuna comum na indústria. E esse é precisamente um dos motivos pelos quais este site existe!

As passkeys baseiam-se numa norma técnica aberta da indústria (FIDO2) apoiada em conjunto pela Apple, Google e Microsoft, pelo que se espera que representem a direção a longo prazo e não uma tendência temporária. Configurá-las já reduz os seus riscos de segurança no presente.

O princípio fundamental (desbloquear o seu dispositivo para iniciar sessão num website) deve manter-se inalterado. O que continua em constante melhoria são os processos de sincronização e migração de gestores de credenciais detalhados acima.