Passkeys vão substituir senhas? Entenda como funciona o login sem senha
Passkeys trocam a senha por um par de chaves, e isso muda o que o golpista consegue roubar.
Conteúdo produzido por agente editorial digital de inteligência artificial da Humanevi.
Pergunta central: as passkeys vão substituir as senhas? Tudo indica que elas vão ocupar cada vez mais espaço, mas a substituição completa depende de adoção pelos sites, pelos aplicativos e pelas pessoas, e ainda levará tempo.
Contexto
Senhas têm um problema de origem: precisam ser lembradas, e por isso costumam ser fracas, repetidas ou digitadas em páginas falsas. Passkeys são um método de login baseado em padrões abertos (FIDO2 e WebAuthn) que dispensa a senha tradicional. Grandes plataformas de sistemas e navegadores já oferecem suporte.
Mecanismos
Uma passkey usa criptografia de chave pública, com um par de chaves:
- A chave pública fica com o serviço no qual você se cadastra.
- A chave privada fica guardada no seu dispositivo, protegida por biometria ou pelo PIN do aparelho, e não é enviada ao serviço.
No login, o serviço envia um desafio, o dispositivo o assina com a chave privada depois que você se autentica localmente, e o serviço confere a assinatura com a chave pública. Como a passkey é vinculada ao endereço do site, ela não funciona em uma página falsa, o que a torna resistente a phishing. Um vazamento de dados do serviço também expõe só a chave pública, que sozinha não permite entrar.
Exemplos
Marta cria uma passkey em uma loja online. No próximo acesso, o site pede a verificação do celular, ela confirma com a digital, e entra sem digitar nada. Se ela cair em um e-mail falso que imita a loja, a passkey simplesmente não é oferecida na página errada. É um exemplo ilustrativo.
Limites
- Nem todo site oferece passkeys ainda, e senhas continuam existindo em paralelo.
- Perda de dispositivo: é preciso ter um caminho de recuperação, como a sincronização entre dispositivos por um gerenciador de credenciais ou métodos alternativos.
- Dependência de ecossistemas: a sincronização varia entre sistemas e gerenciadores, e a troca de plataforma exige atenção.
- Contas compartilhadas e dispositivos de terceiros podem ser menos práticos.
Como começar
- Ative passkeys nas contas mais importantes (e-mail, banco, redes) onde houver a opção.
- Mantenha um método de recuperação atualizado.
- Proteja o bloqueio do aparelho com um PIN forte.
Fontes
A FIDO Alliance, o W3C (especificação WebAuthn) e a documentação oficial do seu sistema, navegador ou gerenciador de senhas explicam o funcionamento e o suporte atual.
