Passkeys vs palavras-passe: vale a pena abandonar as palavras-passe em 2025?
Por CaptainDNS
Publicado em 19 de fevereiro de 2026
- As passkeys utilizam encriptação assimétrica (FIDO2/WebAuthn): a chave privada nunca sai do seu dispositivo, o que elimina o roubo de credenciais no lado do servidor
- O phishing torna-se tecnicamente impossível com passkeys: a autenticação está vinculada ao domínio do site
- Em fevereiro de 2026, mais de 15 mil milhões de contas são compatíveis com passkeys (Google, Apple, Microsoft, Amazon, GitHub, WhatsApp)
- A adoção ainda é parcial: portabilidade entre plataformas limitada, procedimentos de recovery complexos, e poucos serviços suportam 100% passwordless
- Estratégia recomendada: ativar as passkeys em todos os serviços disponíveis e manter palavras-passe fortes + 2FA como rede de segurança
No final de 2024, o Google anuncia que as passkeys são usadas por mais de 400 milhões de contas. A Apple as integra nativamente no iCloud Keychain desde o iOS 16. A Microsoft as implementa no Windows Hello e nas suas contas pessoais. A mensagem dos três gigantes é clara: as palavras-passe estão a viver os seus últimos anos.
Mas entre a promessa de marketing e a realidade técnica, a distância ainda é grande. As passkeys estão prontas para substituir as palavras-passe em todos os cenários? Este artigo compara as duas abordagens no plano técnico, analisa as vantagens reais e as limitações atuais, e propõe uma estratégia de transição adaptada.
O que é uma passkey?
Uma passkey é uma credencial de autenticação baseada em encriptação assimétrica, conforme os padrões FIDO2 e WebAuthn (W3C). Na prática, ela substitui o par login/palavra-passe por um par de chaves criptográficas.
Como funciona
- Criação: quando cria uma conta ou ativa uma passkey, o seu dispositivo gera um par de chaves: uma chave privada (armazenada localmente, no Secure Enclave ou no TPM) e uma chave pública (enviada ao servidor)
- Autenticação: na ligação, o servidor envia um desafio criptográfico. O seu dispositivo assina esse desafio com a chave privada após verificação biométrica (impressão digital, rosto) ou PIN local
- Verificação: o servidor verifica a assinatura com a chave pública. Se ela corresponder, o acesso é concedido
A palavra-passe não existe. Nada é transmitido ao servidor, nada pode ser interceptado, nada pode ser alvo de phishing.
O que diferencia as passkeys das chaves de segurança
As chaves de segurança físicas (YubiKey, Titan) utilizam o mesmo padrão FIDO2, mas as passkeys são sincronizadas entre os seus dispositivos por meio de um gestor (iCloud Keychain, Google Password Manager, 1Password). Uma chave física está vinculada a um único dispositivo. As passkeys são voltadas para o público geral, as chaves físicas para ambientes de alta segurança.
Passkeys vs palavras-passe: comparação detalhada
| Critério | Palavras-passe | Passkeys |
|---|---|---|
| Armazenamento | Servidor (hash) + utilizador (memória ou gestor) | Chave privada no dispositivo, chave pública no servidor |
| Resistência ao phishing | Baixa: o utilizador pode introduzir a sua palavra-passe em um site falso | Alta: a autenticação está vinculada ao domínio |
| Força bruta | Vulnerável se a palavra-passe for fraca | Impossível: encriptação assimétrica |
| Vazamento no servidor | Risco: hashes quebrável (MD5, SHA-1) ou plaintext | Inútil: apenas a chave pública é armazenada |
| Phishing por proxy (AiTM) | Vulnerável, mesmo com MFA tradicional | Resistente: verificação de domínio integrada |
| Reutilização | Comum: 65% dos utilizadores reutilizam as suas palavras-passe | Impossível: cada passkey é única por serviço |
| Memorização | Necessária (ou gestor de palavras-passe) | Nenhuma: biometria ou PIN local |
| Portabilidade | Universal: funciona em qualquer lugar | Limitada: depende do ecossistema (Apple, Google, Microsoft) |
| Recovery | Redefinição por email, perguntas secretas | Complexo: depende da sincronização em nuvem ou backup |
| Adoção | 100% dos serviços | ~20% dos 100 sites mais populares (Passkeys Directory, 2025) |
As vantagens das passkeys
O phishing torna-se impossível
Este é o argumento principal, e é sólido. Com uma palavra-passe, um site de phishing pode capturar as suas credenciais. Com uma passkey, a autenticação verifica criptograficamente o domínio do site. Um site falso g00gle.com não pode acionar a autenticação prevista para google.com, mesmo que a interface seja idêntica.
Essa resistência ao phishing também funciona contra ataques adversary-in-the-middle (AiTM) que contornam o MFA tradicional. A vinculação ao domínio torna os proxies transparentes inoperantes.
Chega de palavras-passe para memorizar
Um utilizador médio possui mais de 100 contas online. Mesmo com um gestor de palavras-passe, o atrito existe: gerar, armazenar, autopreencher, gerir conflitos. Com as passkeys, a autenticação é feita por impressão digital ou reconhecimento facial: um gesto que leva de 1 a 2 segundos.
Os vazamentos de bancos de dados perdem o seu impacto
Quando um serviço é comprometido, os atacantes recuperam hashes de palavras-passe que tentam quebrar. Com as passkeys, o servidor armazena apenas a chave pública: inútil para um atacante. As compilações massivas de credenciais (como os ficheiros "Collection #1" a "#5") não fazem mais sentido em um mundo passwordless.
A experiência de login é mais rápida
Segundo um estudo da FIDO Alliance (2024), o login por passkey é 75% mais rápido que uma palavra-passe + MFA e 40% mais rápido que uma palavra-passe sozinha com autopreenchimento. O abandono durante o login (login abandonment) diminui 20% nos sites que oferecem passkeys.
As limitações atuais das passkeys
As passkeys não são uma solução universal em 2025. Vários obstáculos freiam a adoção.
A portabilidade entre plataformas ainda é limitada
Uma passkey criada no iCloud Keychain funciona em todos os seus dispositivos Apple. Mas se trocar de um iPhone para um smartphone Android, a migração não é transparente. Os gestores terceiros (1Password, Bitwarden, Dashlane) resolvem parcialmente esse problema, mas adicionam uma dependência a um serviço adicional.
A FIDO Alliance publicou em 2024 o protocolo CXP (Credential Exchange Protocol) para padronizar a exportação/importação de passkeys entre plataformas. A implementação ainda está em andamento nos principais players.
O recovery em caso de perda do dispositivo
Perder o seu único dispositivo com palavras-passe é gerível: redefinição por email. Perder o seu dispositivo com passkeys sincronizadas na nuvem também é gerível, desde que tenha acesso à sua conta na nuvem. Mas se perder o acesso à própria conta na nuvem (palavra-passe esquecida, 2FA inacessível), a situação torna-se crítica.
Os procedimentos de recovery variam conforme o fornecedor e não são padronizados. Este é o calcanhar de Aquiles das passkeys para o público geral.
A adoção pelos serviços ainda é parcial
Em fevereiro de 2026, cerca de 20% dos 100 sites mais populares suportam passkeys (fonte: Passkeys Directory). Os grandes nomes estão presentes (Google, Apple, Microsoft, Amazon, GitHub, PayPal, WhatsApp), mas a longa cauda de serviços online, administrações públicas e aplicações empresariais estão longe de acompanhar.
Para os desenvolvedores, a implementação no servidor exige integrar a API WebAuthn, o que representa um esforço técnico considerável comparado a um simples formulário de login/palavra-passe.
Ambientes partilhados são um problema
Um computador partilhado em família, um terminal de uso público em uma biblioteca, um dispositivo profissional usado por vários funcionários: as passkeys vinculadas à biometria de uma única pessoa não funcionam nesses contextos. As palavras-passe, por outro lado, continuam universais.
As empresas avançam com cautela
As políticas de segurança corporativas exigem controlo centralizado de identidades (Active Directory, Okta, Azure AD). A integração das passkeys nesses ambientes está a progredir, mas os admins de TI precisam de gerir a coexistência palavras-passe/passkeys durante um período de transição que durará anos.
O que fazer enquanto a adoção não é completa?
A transição para as passkeys não acontecerá da noite para o dia. Em 2025-2026, a estratégia mais pragmática combina as duas abordagens.
1. Ative as passkeys onde for possível
Comece pelos serviços críticos: Google, Apple ID, Microsoft, GitHub, Amazon. A configuração leva poucos minutos por conta. Uma vez ativadas, as passkeys tornam-se o método de autenticação padrão.
2. Mantenha palavras-passe fortes como solução de fallback
Para todos os serviços que ainda não suportam passkeys (a maioria), use palavras-passe robustas e únicas. Uma palavra-passe de 16+ caracteres gerada aleatoriamente resiste a ataques de força bruta por milênios. Use um gerador de palavras-passe para criar palavras-passe aleatórias ou frases de passe memorizáveis.
3. Ative o MFA em todos os lugares
A autenticação multifator continua indispensável nas contas protegidas por palavra-passe. Prefira aplicações TOTP (Google Authenticator, Authy) ou chaves de segurança FIDO2 em vez de SMS, vulnerável a SIM swapping.
4. Use um gestor de palavras-passe
Um gestor (1Password, Bitwarden, KeePass) centraliza as suas palavras-passe e, cada vez mais, as suas passkeys. É a ponte entre os dois mundos durante a transição.
5. Planeie a migração progressiva
Para os admins de TI: inventariem os serviços compatíveis com passkeys, façam um piloto com um grupo restrito e depois ampliem. Não desativem as palavras-passe antes de validar os procedimentos de recovery.
Gere palavras-passe robustas agora mesmo: use nosso gerador de palavras-passe para criar palavras-passe aleatórias ou frases de passe memorizáveis com indicador de força em tempo real.
FAQ
O que são passkeys?
As passkeys são credenciais de autenticação baseadas em encriptação assimétrica (padrão FIDO2/WebAuthn). Elas substituem as palavras-passe por um par de chaves: uma chave privada armazenada no seu dispositivo e uma chave pública enviada ao servidor. A autenticação é feita por biometria (impressão digital, rosto) ou PIN local, sem jamais transmitir um segredo ao servidor.
É melhor usar uma passkey ou uma palavra-passe?
As passkeys são mais seguras que as palavras-passe: elas resistem ao phishing, a vazamentos de bancos de dados e a ataques de força bruta. No entanto, a sua adoção ainda é parcial (cerca de 20% dos sites populares em 2026). A estratégia recomendada é usar passkeys quando disponíveis e manter palavras-passe fortes + MFA para os demais serviços.
Qual é a diferença entre uma chave de segurança e uma palavra-passe?
Uma chave de segurança (YubiKey, Titan) é um dispositivo físico que autentica por encriptação, sem transmitir segredos. Uma palavra-passe é uma sequência de caracteres que conhece e envia ao servidor. A chave de segurança é resistente ao phishing porque verifica o domínio do site, ao contrário da palavra-passe, que pode ser digitada em um site falso.
As passkeys funcionam em todos os dispositivos?
As passkeys funcionam em dispositivos recentes: iOS 16+, Android 9+, macOS Ventura+, Windows 10+ (via Windows Hello). Elas se sincronizam dentro de um mesmo ecossistema (Apple, Google). A portabilidade entre ecossistemas diferentes está a melhorar graças a gestores terceiros (1Password, Bitwarden) e ao protocolo CXP da FIDO Alliance, mas ainda não é totalmente transparente.
O que acontece se eu perder meu telemóvel com minhas passkeys?
Se as suas passkeys estão sincronizadas na nuvem (iCloud, Google Password Manager), recupera-as conectando-se à sua conta na nuvem a partir de um novo dispositivo. Se também perder o acesso à sua conta na nuvem, precisará de passar pelos procedimentos de recovery de cada serviço, que variam. Por isso, é recomendado manter um meio de autenticação de backup (chave de segurança física, códigos de recuperação).
As passkeys vão substituir as palavras-passe?
A longo prazo, provavelmente para a maioria dos usos do público geral. Mas a transição levará anos. Em 2025-2026, as palavras-passe continuam necessárias para a maioria dos serviços. A coexistência palavras-passe + passkeys será a norma por muito tempo ainda, especialmente em ambientes corporativos e administrações públicas.
As passkeys são realmente resistentes ao phishing?
Sim. Ao contrário das palavras-passe e do MFA tradicional (SMS, TOTP), as passkeys integram uma verificação criptográfica do domínio do site. Um site de phishing que imita google.com na URL g00gle.com não consegue acionar a autenticação. Essa proteção também funciona contra ataques adversary-in-the-middle (AiTM) que contornam o MFA tradicional.
Como ativar as passkeys nas minhas contas?
O procedimento varia por serviço. Em geral: aceda às definições de segurança da sua conta, procure "Passkey", "Chave de acesso" ou "Login sem palavra-passe", e siga as instruções para registar o seu dispositivo. Os principais serviços (Google, Apple, Microsoft, GitHub, Amazon) oferecem essa opção nas configurações de segurança.
Glossário
- Passkey (chave de acesso): credencial de autenticação FIDO2 baseada em encriptação assimétrica, sincronizável entre dispositivos, que substitui a palavra-passe por uma verificação biométrica ou PIN local.
- FIDO2: conjunto de padrões de autenticação desenvolvido pela FIDO Alliance, composto por WebAuthn (API do navegador) e CTAP2 (protocolo de comunicação com os autenticadores).
- WebAuthn (Web Authentication): API W3C que permite aos sites oferecer autenticação por encriptação assimétrica, sem palavra-passe. É a base técnica por trás das passkeys.
- Encriptação assimétrica: sistema que utiliza um par de chaves (pública + privada). A chave privada assina, a chave pública verifica. A chave privada nunca sai do dispositivo.
- AiTM (Adversary-in-the-Middle): ataque de phishing por proxy transparente que intercepta as comunicações entre o utilizador e o site legítimo, capturando cookies de sessão mesmo após autenticação MFA.
- CXP (Credential Exchange Protocol): protocolo da FIDO Alliance (2024) que visa padronizar a exportação e importação de passkeys entre diferentes gestores e plataformas.
📚 Guias de segurança de palavras-passe relacionados
- Frase de passe vs palavra-passe: qual é realmente mais segura?
- Recomendações NIST 2025 sobre palavras-passe: o que mudou
