Passkeys para empresas: o que são, como funcionam e quando adotá-las

A senha tradicional já não é uma defesa viável para as empresas. Ela vaza, é reutilizada, compartilhada e roubada com facilidade. O segundo fator ajudou, mas trouxe fadiga, custos de suporte e fricção a cada acesso.

As passkeys (ou chaves de acesso) surgem como uma solução técnica muito mais robusta. Elas substituem a senha por uma credencial criptográfica única, vinculada ao dispositivo do usuário e resistente à suplantação. Sua adoção cresce graças ao padrão FIDO2 — ou seja, o protocolo aberto que substitui senhas por um par de chaves criptográficas — e ao suporte nativo em sistemas operacionais e navegadores.

Para as empresas, seu valor real vai além de "entrar sem senha". Elas reduzem o roubo de contas, aliviam a equipe de suporte, melhoram a experiência do usuário e oferecem uma autenticação forte sem exigir mais esforço da pessoa em cada início de sessão. Protegem sem complicar.

As passkeys substituem segredos compartilhados por criptografia

A senha é como um segredo que você compartilha com a plataforma: você a conhece, a plataforma a guarda e a verifica toda vez que você quer entrar. Mas o problema é que, se alguém a intercepta, a usa em outro site ou te engana para que você a revele, o sistema não consegue distinguir entre você e um intruso. É uma chave que qualquer um pode duplicar, e isso a torna um mecanismo frágil desde o início.

A passkey (ou chave de acesso) muda as regras do jogo. Em vez de compartilhar um segredo, ela usa um par de chaves criptográficas: uma privada que nunca sai do seu dispositivo, e outra pública que a plataforma guarda para verificar sua identidade. A plataforma nunca recebe nem armazena sua chave privada, nem tampouco uma senha que possa vazar ou ser roubada. Assim, o acesso é muito mais seguro sem depender de você ter que lembrar ou proteger um segredo.

Isso muda o modelo de risco:

• Não há senha para roubar — o usuário não digita um segredo que possa ser capturado.
• Não há senha para reutilizar — cada passkey está associada ao serviço correspondente.
• Não há segredo compartilhado — o servidor verifica uma prova criptográfica, não uma chave memorizada.
• Há validação local — o dispositivo pode pedir biometria, PIN ou outro mecanismo local antes de usar a chave.
• Há menor exposição a suplantação — a passkey está ligada ao domínio ou aplicativo legítimo.

Passkey. Chave de acesso baseada em criptografia. Substitui a senha por uma prova criptográfica resistente a suplantação.

O ponto crucial para as empresas é que a passkey não é apenas uma melhoria de experiência, mas sim uma redução estrutural da superfície de ataque.

O padrão FIDO2 explica por que são mais resistentes

As passkeys se apoiam em padrões abertos como FIDO2 e WebAuthn. O FIDO2 define um modelo de autenticação com criptografia de chave pública, e o WebAuthn permite que navegadores e plataformas o utilizem. Na prática, isso habilita acessos sem senha com chaves sincronizadas, dispositivos físicos ou credenciais protegidas pelo equipamento.

A vantagem técnica está em como o acesso é verificado. A plataforma envia um desafio, o dispositivo o assina com a chave privada e o servidor valida essa assinatura com a chave pública registrada. Se a assinatura é válida e corresponde ao domínio correto, o acesso é concedido. Não viajam segredos, não há senhas para armazenar nem nada que alguém possa roubar para se passar por você.

Isso reduz ataques frequentes:

• Suplantação por engano — a passkey não é entregue a um site falso como uma senha.
• Preenchimento de credenciais — não há senha reutilizável para testar em escala.
• Roubo de bancos de senhas — o servidor não armazena segredos reutilizáveis.
• Captura de códigos — reduz a dependência de códigos de uso único enviados por canais vulneráveis.
• Fadiga de MFA — evita pedir aprovações repetitivas quando o risco é baixo.

Agora, o FIDO2 não elimina todo o risco. Se a recuperação de conta é fraca, o atacante vai por ali. Se o dispositivo está comprometido, é preciso olhar outros sinais. Se uma operação é sensível, pode caber pedir mais evidências. Uma passkey melhora a entrada, mas não substitui toda a arquitetura de confiança.

As empresas adotam passkeys para reduzir risco e suporte

Na hora de avaliar custos da senha em uma empresa, há dois tipos: os que são vistos e os que se escondem. Os visíveis são óbvios: redefinições, bloqueios, tickets, chamadas ao suporte e usuários que abandonam porque não conseguem entrar. Os menos visíveis são mais caros: tomada de contas, exposição a credenciais vazadas, fraude pós-acesso e horas de engenharia sustentando um modelo que já não escala bem.

As passkeys atacam esse problema pela raiz. Elas não obrigam o usuário a lembrar uma chave. Não dependem de ele distinguir uma página legítima de uma falsa, nem precisam que o suporte resolva tantos bloqueios por senhas esquecidas. É uma mudança que reduz custos visíveis e invisíveis ao mesmo tempo.

Em empresas com alto volume digital, isso impacta em quatro frentes:

• Segurança — menor exposição a credenciais roubadas ou reutilizadas.
• Experiência — acessos mais rápidos e menos interrupções desnecessárias.
• Operação — menos redefinições e menos pressão sobre o suporte.
• Conversão — menos abandono no início de sessão, recuperação e reautenticação.

Em serviços financeiros, isso importa em banking mobile, transferências, recuperação de conta e operações sensíveis. Em gaming, impacta em saques, contas de alto valor e abuso de promoções. Em varejo, melhora o acesso a contas, compras recorrentes e financiamento.

A senha parece barata até você medir tudo o que ela obriga a sustentar.

A adoção deve começar pelos fluxos de maior impacto

Por mais tentador que pareça implementar um novo sistema de autenticação rapidamente, não convém migrar toda a infraestrutura de um dia para o outro. Uma adoção séria de passkeys ou chaves de acesso começa pelos fluxos onde o benefício é mais claro e o risco de segurança é mais alto. Depois se estende ao restante da base de usuários com métricas claras, programas de educação e alternativas seguras que garantam uma transição sem fricção.

Os melhores pontos de entrada costumam ser:

• Usuários de alto valor — contas com maior exposição financeira, operacional ou regulatória.
• Operações sensíveis — transferências, alterações de dados, saques ou emissão de credenciais.
• Recuperação de conta — substituição de processos fracos baseados em e-mail, SMS ou suporte manual.
• Novos registros — ativação de passkey desde o onboarding para evitar criar senha.
• Usuários com fricção recorrente — contas com muitas redefinições, bloqueios ou tentativas falhas.
• Funcionários e administradores — acessos internos com permissões críticas.

O erro mais comum é adicionar passkeys sobre uma recuperação de conta fraca. Se o usuário entra com uma chave forte, mas pode recuperar o acesso com um e-mail vulnerável ou uma revisão manual sem evidência suficiente, o atacante não precisa quebrar a passkey. Ele só precisa usar o caminho mais fácil. Isso torna a recuperação no elo mais frágil de toda a cadeia de autenticação.

Por isso, antes de adotar passkeys, convém revisar o ciclo completo:

• como a identidade é registrada;
• como a chave é emitida;
• como o acesso é recuperado;
• como um novo dispositivo é registrado;
• o que acontece diante de uma operação sensível;
• quais sinais elevam o risco;
• quais evidências ficam para auditoria.

A adoção não deve ser apenas técnica, mas também uma decisão operacional.

As passkeys funcionam melhor com autenticação adaptativa

Uma passkey confirma que o usuário tem acesso a uma chave válida, mas nem sempre é suficiente para aprovar uma operação. Para que o potencial de uma passkey tenha maior efetividade, o contexto deve continuar importando. Um início de sessão a partir de um dispositivo conhecido e com comportamento habitual pode avançar sem fricção. Em contrapartida, se for gerada uma recuperação a partir de um dispositivo novo, seguida de troca de telefone e transferência para um beneficiário novo, será necessária mais evidência.

É aí que entra a autenticação adaptativa. Não se trata de acumular fatores de verificação sem critério, mas de avaliar o risco de cada operação e pedir mais provas apenas quando realmente for necessário — segurança sem fricção, não segurança à força de repetir o mesmo controle. A ideia é proteger sem se tornar um incômodo para o usuário a cada movimento.

O sistema avalia sinais e decide quando pedir mais:

• Dispositivo — histórico, integridade, alterações recentes ou sinais de manipulação.
• Localização — país, cidade, rede, intermediários ou deslocamentos improváveis.
• Comportamento — ritmo de navegação, velocidade de digitação e sequência de ações.
• Operação — valor, destino, tipo de câmbio ou sensibilidade do dado.
• Identidade — nível de confiança do onboarding, biometria e prova de vida prévia.
• Histórico — tentativas falhas, reclamações, bloqueios ou eventos de risco.

A passkey reduz a exposição inicial, mas a autenticação adaptativa é a que decide se essa confiança continua sendo suficiente em cada operação. E essa diferença é chave, porque a segurança das contas não melhora pedindo mais verificação sempre, mas pedindo mais quando o risco realmente muda. Assim se protege melhor sem punir o usuário em cada acesso, algo que as senhas e os segundos fatores tradicionais nunca conseguiram equilibrar totalmente.

A estratégia certa conecta acesso, identidade e prevenção de fraude

Em síntese, as passkeys resolvem uma parte importante do problema ao eliminar a senha do acesso. Mas a identidade digital não termina no acesso, porque uma conta pode passar pelo onboarding corretamente e enfrentar tomada de conta semanas depois. Ou um dispositivo pode ser legítimo e ser comprometido. Até mesmo uma sessão pode começar com baixo risco e mudar quando surge uma operação sensível.

Por isso, uma estratégia empresarial de passkeys deve se conectar com identidade, autenticação e prevenção de fraude. Na VU, organizamos essa camada a partir de três capacidades:

• Verifica para verificação de identidade e onboarding biométrico.
• Autentica para autenticação, MFA e acesso sem senha.
• Protege para prevenção de fraude em tempo real.

Quando essas camadas trabalham juntas, a empresa pode tomar decisões mais precisas sobre quando confiar, quando pedir mais evidências e quando bloquear. Desse modo, a senha deixa de ter esse papel central determinante, mas a confiança não.

Aí está a verdadeira mudança: não em substituir uma senha por uma chave, mas em deixar de tratar o acesso como um evento único e começar a sustentá-lo durante toda a jornada do usuário.

Restabeleça a confiança em cada interação digital. Saiba como a VU conecta passkeys, autenticação sem senha e prevenção de fraude para proteger contas sem adicionar fricção desnecessária.
Agende uma demonstração