Passkeys: como entrar nas suas contas sem senha

Senhas são o elo fraco da segurança digital: repetimos as mesmas em vários sites, esquecemos, anotamos e caímos em páginas falsas que as roubam. As passkeys — "chaves de acesso", em português — são o padrão que as grandes empresas de tecnologia vêm adotando para substituir as senhas, e já funcionam em boa parte dos serviços populares.

O que é uma passkey

É uma credencial digital criada pelo seu aparelho para um site ou app específico. Ela se baseia em criptografia de chave pública, num padrão aberto desenvolvido pela FIDO Alliance e pelo W3C (o WebAuthn):

• Uma chave privada fica guardada no seu dispositivo, ou no gerenciador de senhas que você usa, e nunca é enviada ao site.
• Uma chave pública fica com o serviço.

No login, o site envia um desafio, o seu aparelho o assina com a chave privada e o site confere a assinatura com a chave pública. Para liberar a chave, você faz o mesmo de sempre para desbloquear o aparelho: digital, reconhecimento facial ou PIN.

Por que é mais seguro

• Resiste a phishing: a passkey é vinculada ao endereço verdadeiro do site. Numa página falsa, ela simplesmente não funciona.
• Nada útil para vazar: como o servidor guarda só a chave pública, um vazamento no site não entrega algo que permita entrar na sua conta.
• Sem reutilização: cada site recebe uma chave diferente, gerada automaticamente.
• Sua biometria não sai do aparelho: a digital ou o rosto servem só para destravar a chave localmente; o site não recebe esses dados.

Como ativar

O caminho varia de serviço para serviço, mas costuma ser parecido:

1. Entre na sua conta normalmente e abra as configurações de segurança ou de login.
2. Procure a opção "Passkey", "Chave de acesso" ou "Entrar sem senha".
3. Confirme com o desbloqueio do aparelho. No próximo login, o site já oferece a passkey.

Contas do Google, da Apple e da Microsoft, além de muitas lojas, redes sociais e serviços financeiros, já oferecem a opção.

Em vários aparelhos

As passkeys podem ser sincronizadas pela conta do sistema (como Google ou Apple) ou por gerenciadores de senhas, e assim ficam disponíveis nos seus outros aparelhos. Também dá para usar o celular para entrar num computador que não tem a sua passkey: o site mostra um QR code, você o lê com o celular e confirma por lá.

Cuidados

• Proteja o desbloqueio do aparelho. Quem destrava o seu celular pode usar as suas passkeys; use um PIN forte e não o compartilhe.
• Mantenha um método de recuperação. E-mail e telefone atualizados e, se o serviço oferecer, códigos de recuperação guardados em lugar seguro.
• A senha pode continuar existindo. Muitos serviços mantêm a senha como alternativa. Nesse caso, garanta que ela seja forte e única.

As passkeys não resolvem tudo, mas atacam as duas maiores portas de entrada para invasões de contas: senhas fracas ou repetidas e páginas falsas de login.