Passkeys: como ativar e entrar nas contas sem senha

Passkey (em português, chave de acesso) é um jeito de entrar em sites e apps sem digitar senha: você confirma o login com a digital, o rosto ou o PIN de desbloqueio do próprio celular ou computador. Google, Apple e Microsoft já aceitam, e vários apps grandes também. Abaixo, o que ela resolve, o que não resolve e como ativar.

Como a passkey funciona

O padrão é da FIDO Alliance, grupo que reúne empresas como Google, Apple e Microsoft. Quando você cria uma passkey, o aparelho gera um par de chaves:

• Chave pública: fica no servidor do serviço. Ela só serve para conferir a sua assinatura; se o site for invadido, ela não permite entrar na sua conta.
• Chave privada: fica no seu aparelho (ou no gerenciador de senhas que sincroniza as chaves) e não é enviada ao site. Ela só é usada depois que você desbloqueia o aparelho com biometria ou PIN.

Isso é criptografia de chave pública, não uma “senha mais forte”. Segundo a FIDO Alliance, cada passkey fica ligada à conta de um site ou app específico.

O que muda na prática

Proteção contra página falsa (phishing)

No golpe clássico, o criminoso cria uma página parecida com a do banco ou da loja e espera você digitar a senha. Com passkey não há senha para digitar, e a chave só funciona no endereço para o qual foi criada. A Apple descreve as passkeys como “protegidas contra phishing” e sem “segredos compartilhados” com o site. O Google lembra que elas não podem ser copiadas, anotadas ou entregues a alguém por engano.

Vazamento do site pesa menos

Como o serviço guarda só a chave pública, um vazamento do banco de dados não entrega uma senha que o criminoso possa testar em outros sites.

O que ela não resolve

A passkey protege o login. Ela não impede que você seja convencido por telefone a fazer um Pix ou instalar um app de acesso remoto. Golpes de engenharia social continuam funcionando; veja o nosso guia sobre a falsa central do banco.

O que você precisa ter

Pelos requisitos do Google:

• Computador com Windows 10, macOS Ventura ou ChromeOS 109 ou mais novos;
• Celular com Android 9 ou iOS 16 ou mais novos;
• Navegador Chrome 109+, Safari 16+, Edge 109+ ou Firefox 122+;
• Bloqueio de tela ativado no aparelho (sem isso a passkey não é criada);
• No iPhone, iPad e Mac, as Chaves do iCloud ligadas.

Como ativar na Conta Google

1. Abra myaccount.google.com/signinoptions/passkeys (ou Conta Google → Segurança → Chaves de acesso e chaves de segurança).
2. Toque em Criar uma chave de acesso e confirme.
3. Desbloqueie o aparelho com digital, rosto ou PIN.

Para entrar num computador que não tem a sua passkey, escolha Tentar de outro jeito → Usar a chave de acesso. Um QR code aparece na tela; leia com o celular e confirme. O Bluetooth precisa estar ligado nos dois aparelhos, porque o sistema confere se o celular está perto do computador.

Como usar no iPhone, iPad e Mac

1. Em Ajustes, toque no seu nome → iCloud e confirme que as Chaves do iCloud (senhas e chaves) estão ativadas.
2. A conta Apple precisa ter autenticação de dois fatores.
3. Ao entrar num site ou app compatível, o sistema oferece salvar uma chave de acesso com Face ID ou Touch ID. É só confirmar.

As passkeys salvas assim são sincronizadas entre os seus aparelhos Apple.

E nos apps?

WhatsApp e Amazon, por exemplo, já oferecem chave de acesso. No WhatsApp, o caminho é Configurações → Conta → Chaves de acesso. Na Amazon, fica nas configurações de login e segurança da conta. Em outros serviços, procure por “Chave de acesso” ou “Passkey” na área de segurança. Se não aparecer, o serviço ainda não oferece.

E se eu perder o celular?

Depende de onde a passkey está guardada:

• Chaves do iCloud: segundo a Apple, as passkeys podem ser recuperadas mesmo se você perder todos os aparelhos, pelo processo de recuperação da conta Apple.
• Conta Google: o Google orienta remover a passkey do aparelho perdido em Segurança → Chaves de acesso e chaves de segurança → Remover. Você continua entrando pelos outros métodos da conta (outro aparelho, senha, verificação em duas etapas).
• Chave de segurança física (FIDO2): se ela for a única, perdeu a chave, perdeu o acesso. Cadastre sempre uma segunda forma de entrar.

Por isso, não apague a senha e os métodos de recuperação logo de cara. Deixe a passkey como forma principal de login e mantenha e-mail e telefone de recuperação atualizados.

Vale a pena?

Sim, principalmente nas contas que dão acesso a todo o resto: e-mail (Google, Microsoft, Apple) e WhatsApp. Leva poucos minutos, não custa nada e tira do caminho o golpe da página falsa. Comece pela conta de e-mail, teste o login num segundo aparelho e só depois passe para as outras.

Fonte: Ajuda da Conta Google — chaves de acesso; Apple — Segurança das chaves de acesso; FIDO Alliance.

Leia também

• Modo Rua: como proteger apps de banco se roubarem o celular
• Golpe da falsa central do banco: como se proteger
• SIM swap: como proteger seu chip do golpe