Passkeys são uma alternativa às senhas que usa criptografia e o desbloqueio do seu celular ou computador para confirmar o login. Em vez de digitar uma sequência que pode ser roubada por um site falso, você aprova o acesso com PIN, senha local, impressão digital ou reconhecimento facial.
Na Conta Google, a configuração é feita pela página de chaves de acesso. O recurso melhora a resistência contra phishing, mas não é um botão mágico: é preciso criar a passkey apenas em aparelhos próprios, manter uma forma de recuperação e saber como revogar o acesso de um dispositivo perdido.
O que são passkeys?
Uma passkey, também chamada de chave de acesso, é uma credencial FIDO criada para substituir a senha em sites e aplicativos. Ela nasce como um par de chaves criptográficas:
- Chave privada: fica protegida no autenticador do celular, computador, navegador, gerenciador de credenciais ou chave USB.
- Chave pública: é cadastrada pelo serviço e serve para conferir se a resposta do seu dispositivo é legítima.
O site nunca recebe a chave privada. No login, o serviço envia um desafio aleatório; o autenticador assina esse desafio e devolve a resposta. O servidor verifica a assinatura com a chave pública. É como apresentar uma prova matemática sem entregar o segredo original.
O padrão por trás desse fluxo é o FIDO2, que inclui o WebAuthn para navegadores e o CTAP para a comunicação com autenticadores. Para quem não programa, a consequência mais importante é simples: a passkey fica vinculada ao serviço e ao domínio correto. Uma página falsa não consegue reaproveitar a chave criada para o site verdadeiro.
Por que elas resistem melhor ao phishing?
Em um golpe tradicional, a vítima digita usuário e senha em uma página falsa. O criminoso captura os dados e tenta usá-los no site real. Com uma passkey, o autenticador verifica o contexto do site antes de liberar a assinatura. O domínio errado não deve receber uma credencial criada para o domínio legítimo.
Há outra diferença importante: não existe uma senha reutilizável para o atacante copiar, anotar ou convencer você a informar por telefone. A biometria também não é enviada para o Google ou para o site; ela serve localmente para desbloquear o autenticador, que então autoriza a operação.
Isso não torna a conta invulnerável. Um invasor que assumir o controle do seu gerenciador de credenciais, do aparelho ou dos métodos de recuperação ainda pode causar problemas. Por isso, segurança de conta continua dependendo de bloqueio de tela, atualizações, recuperação bem configurada e atenção a sessões abertas.
Passkey sincronizada ou vinculada ao dispositivo?
Existem dois modelos que aparecem com frequência:
- Sincronizada: o provedor de credenciais protege a passkey e a disponibiliza em outros aparelhos conectados à mesma conta. É mais conveniente para quem troca de celular ou usa computador e telefone.
- Vinculada ao dispositivo: a chave privada permanece em um aparelho específico ou em uma chave física FIDO2. É interessante para contas administrativas e ambientes com exigências de controle mais rígidas, mas exige um plano de recuperação caso o equipamento seja perdido.
Para a maioria das pessoas, a passkey sincronizada tende a ser o caminho mais prático. Em um escritório, clínica ou pequena empresa, contas com acesso a dados sensíveis podem justificar uma chave física ou outro autenticador separado. A escolha não deve ser feita apenas pelo discurso de “sem senha”: avalie recuperação, suporte e quem administra o dispositivo.
Como configurar uma passkey na Conta Google
O caminho abaixo usa a página oficial de opções de login da Conta Google. Os nomes dos botões podem mudar um pouco conforme o idioma, o aparelho e a versão do navegador.
- Abra myaccount.google.com/signinoptions/passkeys e entre na sua Conta Google.
- Procure a opção para criar uma chave de acesso.
- Confirme que o aparelho é seu e siga a solicitação de desbloqueio de tela. Pode ser PIN, senha local, impressão digital ou reconhecimento facial, conforme o dispositivo.
- Conclua o cadastro e confira se a nova chave aparece na lista de opções de login.
- Se você usa mais de um aparelho próprio, repita o processo nele ou confirme se o seu provedor sincroniza a credencial.
Atenção: não crie uma passkey em computador compartilhado, celular emprestado ou aparelho de outra pessoa. O Google alerta que qualquer pessoa capaz de desbloquear o dispositivo poderá usar a chave cadastrada nele para acessar a conta. Em equipamento perdido, vendido ou reutilizado, remova a passkey correspondente nas opções de login.
Passkeys substituem a autenticação em duas etapas?
Depende do serviço. Uma passkey pode juntar dois elementos: você tem o dispositivo e precisa desbloqueá-lo com algo que sabe, como um PIN, ou algo que é, como uma impressão digital. Por isso, ela pode funcionar como uma forma forte de autenticação multifator em determinados ambientes.
Isso não significa que você deva apagar imediatamente todos os outros métodos. A passkey é uma credencial de login; recuperação de conta é outra preocupação. Mantenha e revise métodos de recuperação confiáveis e, quando o serviço permitir, tenha mais de uma passkey em aparelhos próprios.
Se você ainda usa senha e código por SMS, vale entender o básico no guia do JSMS sobre como ativar a autenticação em duas etapas nas contas. A melhor configuração é a que você consegue usar e recuperar sem deixar uma porta aberta.
Limitações e cuidados antes de ativar
- Perda do aparelho: sem outro dispositivo, chave física ou método de recuperação, o acesso pode ficar mais trabalhoso.
- Conta do provedor: passkeys sincronizadas dependem da segurança da conta que guarda ou sincroniza suas credenciais.
- Compatibilidade: o site precisa oferecer suporte a passkeys e o aparelho precisa ter um autenticador compatível.
- Dispositivo compartilhado: cadastrar a chave ali pode permitir que outra pessoa desbloqueie a conta.
- Ambiente corporativo: administradores do Google Workspace ou de outro serviço podem impor políticas diferentes das de uma conta pessoal.
Em resumo, passkeys reduzem uma das fraquezas mais exploradas das senhas: o segredo que pode ser digitado no lugar errado. Elas não substituem higiene digital, recuperação planejada e controle dos dispositivos, mas são uma evolução prática para quem quer parar de depender apenas de senha e SMS.
Perguntas frequentes
Passkey é a mesma coisa que senha?
Não. A senha é um segredo que você digita e que o serviço precisa verificar. A passkey usa um par de chaves criptográficas: a chave privada fica no autenticador do dispositivo e a chave pública fica no serviço. Você autoriza o uso com o desbloqueio local do aparelho.
Passkeys funcionam em mais de um dispositivo?
Depende do tipo. Passkeys sincronizadas podem aparecer em outros aparelhos que usam o mesmo provedor de credenciais, enquanto passkeys vinculadas ao dispositivo ficam presas a um equipamento ou chave física. O serviço e o sistema operacional determinam as opções disponíveis.
O que acontece se eu perder o celular?
Use outro método de recuperação já configurado, entre na conta por outro dispositivo e remova a passkey do aparelho perdido. Também é recomendável manter mais de uma forma de recuperação e criar uma segunda passkey em um dispositivo próprio.
Passkey elimina a necessidade de autenticação em duas etapas?
Em muitos serviços, a passkey já combina posse do dispositivo com verificação local por PIN, senha ou biometria. Ainda assim, a forma como isso conta para MFA depende do serviço, da política da organização e do contexto de segurança.
Fontes consultadas
- Ajuda da Conta Google: fazer login com uma chave de acesso — consultada em 19 de agosto de 2026.
- FIDO Alliance: Passkeys — consultada em 19 de agosto de 2026.
- MDN: Passkeys — consultada em 19 de agosto de 2026.
- Microsoft Learn: passkeys FIDO2 — consultada em 19 de agosto de 2026.