Chaves de acesso (passkeys): o que são e por que são mais seguras que senhas

Senhas fracas, repetidas em vários sites e roubadas em vazamentos estão entre as principais causas de invasão de contas. As chaves de acesso, também chamadas de passkeys, foram criadas para resolver esse problema: em vez de digitar uma senha, você confirma o acesso com a digital, o rosto ou o PIN do seu celular ou computador.

Como funcionam

Quando você cria uma chave de acesso, o seu aparelho gera um par de chaves criptográficas. A chave pública fica guardada no site. A chave privada nunca sai do seu aparelho (ou do gerenciador de senhas que a sincroniza com segurança). Na hora de entrar, o site envia um desafio, o seu aparelho assina esse desafio com a chave privada depois que você o desbloqueia, e o site confere a assinatura com a chave pública.

O padrão por trás disso se chama WebAuthn, mantido pela Aliança FIDO e pelo W3C, e é suportado pelos principais sistemas operacionais e navegadores.

Por que é mais seguro

• Não há senha para vazar: o site guarda apenas a chave pública, que não serve para entrar na sua conta.
• Resiste a phishing: a chave só funciona no endereço verdadeiro do site. Uma página falsa, mesmo idêntica, não consegue usá-la.
• Não pode ser reutilizada: cada site tem uma chave diferente, então um vazamento em um serviço não afeta os outros.
• Exige o aparelho e você: é preciso ter o dispositivo em mãos e desbloqueá-lo.

E se eu perder o celular?

As chaves de acesso costumam ser sincronizadas pelo gerenciador de senhas do sistema (como os do Google, da Apple ou da Microsoft) ou por gerenciadores independentes. Ao configurar um aparelho novo com a mesma conta, as chaves voltam. Mesmo assim, é recomendável cadastrar mais de uma chave — por exemplo, no celular e no computador — e manter um método de recuperação da conta atualizado.

Como começar

1. Mantenha o sistema do celular e do computador atualizado.
2. Ative o bloqueio de tela com digital, rosto ou PIN.
3. Nas configurações de segurança dos serviços que você usa, procure a opção “chave de acesso” ou “passkey”.
4. Cadastre a chave em pelo menos dois aparelhos.

Chave de acesso, senha e código por SMS: qual a diferença

A senha é algo que você sabe — e, por isso, pode ser adivinhada, vazada ou digitada em um site falso. O código por SMS ou e-mail é um segundo fator útil, mas também pode ser interceptado ou obtido por engenharia social, quando um golpista convence a vítima a informar o código. A chave de acesso junta duas coisas difíceis de roubar ao mesmo tempo: o aparelho que você tem e a biometria ou PIN que só você conhece, sem nada para digitar ou repassar.

Usando a chave em um computador que não é seu

Em um computador emprestado, você pode entrar escaneando um código QR com o seu celular. O celular confirma o acesso por proximidade (via Bluetooth) e a chave privada continua no seu aparelho. Ao terminar, lembre-se de sair da conta naquele computador.

O Rande ID, a conta única dos serviços Rande, já permite entrar com chave de acesso. Quanto mais serviços adotarem o padrão, menos dependeremos de senhas.

Enquanto ainda houver senhas

Nos serviços que ainda não aceitam chaves de acesso, use um gerenciador de senhas, crie uma senha diferente para cada site e ative a verificação em duas etapas. E fique atento aos golpes mais comuns no Pix e no WhatsApp, que exploram justamente a confiança e a pressa.