Passkey
Uma credencial criptográfica que vive no dispositivo e substitui a senha. Como funciona, o que muda quando é sincronizada entre aparelhos e o que acontece no dia em que o celular se perde.
Em resumo
Uma passkey é uma credencial criptográfica atrelada a um site e custodiada por um autenticador, que substitui a senha. É uma credencial FIDO2: o dispositivo guarda uma chave privada, o site guarda a chave pública correspondente, e acessar consiste em assinar um desafio com a primeira.
Para o usuário, tudo isso se parece com desbloquear o celular. Para o site, significa que ele já não custodia nenhum segredo que possa vazar.
O que acontece quando alguém acessa com uma passkey
A sequência é breve e cada passo explica uma propriedade do mecanismo.
- O site envia um desafio. Um dado aleatório diferente a cada tentativa, que impede reutilizar uma resposta anterior.
- O dispositivo pede o desbloqueio. Rosto, digital ou PIN do dispositivo. Essa verificação é local: autoriza o uso da chave privada.
- O autenticador assina. A chave privada nunca é enviada ao site, nem mesmo neste passo.
- O site valida a assinatura com a chave pública que guardou no cadastro.
Daí se segue o que mais se interpreta mal: o traço biométrico não viaja para lugar nenhum. Não é enviado ao site, não é guardado na sua base e não faz parte do protocolo. A única coisa que faz é desbloquear uma chave que já estava no dispositivo.
A sincronização resolveu a adoção e moveu a confiança
As primeiras credenciais FIDO ficavam presas ao aparelho onde eram criadas. Perder o aparelho era perder o acesso, e isso freou sua adoção em massa por anos.
As passkeys sincronizáveis resolveram isso: a plataforma faz backup da credencial e a replica entre os dispositivos da mesma pessoa. A contrapartida é que a segurança do acesso passa a depender também da conta de plataforma que sincroniza. Quem recupera essa conta recupera as passkeys que ela contém.
Por isso convém ter presente a distinção:
- Passkey sincronizável — se replica entre dispositivos da pessoa através da plataforma. É cômoda, sobrevive à perda do aparelho e herda a segurança da conta de plataforma.
- Passkey atrelada ao dispositivo — não sincroniza e não sai do aparelho onde foi criada. É mais restritiva e não cede confiança a nenhum terceiro. É o formato geralmente exigido em cenários de alto risco.
Uma equipe que avalia passkeys para um produto regulado precisa saber qual das duas está aceitando, porque não respondem da mesma forma diante de um auditor.
A recuperação é o ponto onde tudo se define
O phishing deixa de funcionar contra uma passkey, porque a credencial está atrelada ao domínio que a registrou e o navegador não a oferece a um site de imitação. O credential stuffing também perde o sentido: não há senha para testar em massa.
O atacante faz então o razoável, que é deixar de atacar o acesso e atacar a recuperação. E a recuperação é onde muitas implementações deixam uma senha de backup, um OTP por SMS ou uma pergunta secreta. O nível de segurança real do acesso passa a ser o do caminho mais fraco, não o da passkey.
Bem resolvida, a recuperação de acesso deixa de ser uma pergunta de credenciais e volta a ser uma pergunta de identidade: é preciso estabelecer de novo que quem pede a recuperação é o titular. Essa verificação é uma verificação de identidade, com documento e presença, não um segundo fator. É o mesmo problema que o cadastro resolve, e por isso uma identidade digital consolidada faz diferença: a evidência coletada no registro é o que permite reconhecer o titular quando ele já não tem seu dispositivo.
Perguntas frequentes
É uma credencial criptográfica que substitui a senha, atrelada a um site e custodiada por um autenticador. O autenticador guarda uma chave privada que nunca é enviada ao site, o site guarda a chave pública, e o acesso consiste em assinar com a privada um desafio aleatório que o site envia. Tecnicamente é uma credencial FIDO2, e o que a indústria acrescentou sobre o padrão é a possibilidade de sincronizá-la: uma passkey sincronizável se replica de forma criptografada entre os dispositivos da mesma pessoa através da plataforma, enquanto uma passkey atrelada ao dispositivo não sai do aparelho onde foi criada. A distinção muda o modelo de recuperação e convém saber qual das duas está sendo registrada.
Não. O traço biométrico é comparado localmente no dispositivo e sua única função é desbloquear a chave privada que já estava guardada ali. Ao site nunca chega a biometria: chega uma assinatura criptográfica. É uma diferença importante em relação à ideia intuitiva de que o rosto é enviado a um servidor para ser comparado.
Depende de qual tipo de passkey foi registrada. Se é sincronizável, a credencial está resguardada pela plataforma e se recupera ao fazer login na conta de plataforma a partir de outro dispositivo. Se está atrelada ao dispositivo, se perde e é preciso passar pelo processo de recuperação do site. Esse processo é a parte que convém observar com mais cuidado: se a recuperação devolve o acesso com um código por SMS ou uma pergunta secreta, a segurança efetiva da conta é a desse caminho, não a da passkey.
