Por que as passkeys importam (mesmo se você já tem uma senha)
A maioria dos logins de estoque ainda começa do mesmo jeito de vinte anos atrás: um e-mail e uma senha. Isso é um segredo compartilhado. Você digita, o site confere, e quem descobrir pode se passar por você. Páginas de phishing, logins reutilizados de outros vazamentos e malware infostealer funcionam porque o segredo pode sair da sua cabeça e viajar pela rede.
O Data Breach Investigations Report 2026 da Verizon ainda encontra o uso de credenciais roubadas em cerca de 36 % dos incidentes. As próprias credenciais aparecem como dados roubados em mais de um quarto deles. O “elemento humano” (phishing, erros, engenharia social) está em cerca de três em cada cinco incidentes. Senhas não são a única porta de entrada, mas continuam sendo uma porta confiável.
O que uma passkey realmente é
Uma passkey é uma credencial FIDO2 / WebAuthn: um par de chaves pública/privada criado no seu dispositivo (ou em um gerenciador de senhas ou uma chave de segurança física) para um site específico. O site guarda a chave pública. A chave privada nunca sai do authenticator. Quando você entra, o site envia um desafio de uso único. Seu dispositivo destrava a chave privada do mesmo jeito que você destrava o celular ou o notebook (Windows Hello, Face ID, um PIN, um toque na chave de segurança) e assina o desafio. O site confere a assinatura. Pronto.
Não há senha para lembrar, reutilizar ou colar. Também não há um segredo no nosso banco de dados que sirva se alguém copiá-lo. Uma chave pública extraída não permite que ninguém entre.
A FIDO Alliance trata “passkey” como um substantivo comum, como “senha”. As passkeys sincronizadas viajam com a sua conta Apple, Google ou gerenciador. As passkeys ligadas a um dispositivo (incluindo as chaves de segurança FIDO) ficam em um único authenticator. As duas são passkeys. A versão sincronizada é a que a maioria das pessoas vai usar no dia a dia. A versão ligada ao dispositivo é a opção mais rígida quando você quer que a chave privada nunca saia de um pedaço de hardware.
Por que o phishing rebate
A propriedade importante não é a biometria. É a vinculação à origem. Quando a passkey é
criada, o navegador registra o site de verdade (o identificador da parte confiável, na prática o domínio). No login,
o authenticator só usará essa passkey se o pedido vier desse mesmo domínio. Um impostor em
simpleinventorymanagement.example não consegue exercer uma passkey registrada para
simpleinventorymanagement.com. O dispositivo recusa. Você nem chega a ter a chance de “confirmar”
na página falsa.
É isso que “resistente a phishing” significa na linguagem da CISA e do NIST: o authenticator não entregará um segredo usável a um site que se passa pelo seu. O National Cyber Security Centre britânico comparou as credenciais FIDO2 com senhas e com o MFA clássico (senha mais SMS, código de aplicativo ou notificação). Diante do phishing do tipo adversário no meio, o MFA clássico continua vulnerável. O FIDO2 não. Códigos SMS e os convites para “aprovar este login” podem ser retransmitidos em tempo real. Uma passkey não, porque a assinatura está vinculada à origem real.
As Digital Identity Guidelines do NIST (SP 800-63B-4) agora exigem que os serviços no nível de garantia 2 ofereçam uma opção resistente a phishing, e exigem resistência a phishing no nível 3. A CISA considera que FIDO/WebAuthn (chaves de segurança e passkeys) e os cartões inteligentes PKI são os métodos que realmente qualificam. Notificações push, códigos por e-mail e SMS não.
Stuffing, vazamentos e “usei uma senha exclusiva”
Mesmo uma senha exclusiva e longa falha se for digitada no site errado, ou se um malware no notebook a ler enquanto você digita. O credential stuffing funciona porque as pessoas reutilizam senhas de um site para outro; um vazamento em outro lugar vira um login aqui. Os registros de infostealer nos relatórios recentes da Verizon continuam mostrando e-mails corporativos misturados com contas pessoais em dispositivos não gerenciados. Nenhum desses ataques produz uma chave privada utilizável no nosso domínio.
Uma pesquisa com consumidores da FIDO Alliance para o World Passkey Day 2025 encontrou que 36 % das pessoas tinham pelo menos uma conta comprometida por causa de senhas. Isso não é motivo para entrar em pânico. É um motivo para parar de tornar o segredo de login algo que se pode enganar uma pessoa a digitar.
O que isso não é
- Não é mágica contra um notebook já comprometido. Se um malware já roda como você, ele pode abusar do que você consegue destravar, inclusive alguns cofres de passkeys sincronizadas. As passkeys elevam a barra contra o phishing remoto. Elas não substituem a higiene do dispositivo.
- Não é motivo para abandonar o SSO. Se a sua empresa exige SAML, isso continua valendo. As passkeys são para as contas que entram diretamente aqui. Elas não contornam a exigência de SSO em um domínio verificado.
- Não é um segundo fator em cima da senha. Uma passkey é um login primário. Mantenha a 2FA por aplicativo autenticador que já oferecemos se quiser um segundo passo no login por senha. Não trate uma passkey como esse segundo passo.
- Não é irrecuperável. Mantenha uma senha (e, para uma empresa, o SSO) para que um celular perdido seja um transtorno, não um bloqueio. Registre mais de uma passkey se puder: notebook mais celular, ou uma chave física de reserva.
Onde as passkeys se encaixam ao lado do SSO
O login único SAML continua sendo a escolha certa quando uma empresa já vive no Okta, no Entra ID ou no Google Workspace. O IdP vira a porta da frente: o desligamento é um interruptor, e a política de MFA vive em um só lugar. As passkeys ajudam todo mundo demais, e ajudam o dono que ainda não está atrás de um IdP: a pessoa que, senão, reutilizaria uma senha no aplicativo de estoque que guarda custos de fornecedores, posições de estoque e o histórico de pedidos.
O estoque é um dado operacional. Um login roubado não é só “alguém viu uma contagem”. É alguém que pode ajustar o estoque, concluir pedidos ou ler em silêncio o que você compra e o que você paga. Tornar esse login resistente a phishing é o mesmo instinto de trancar o depósito. A diferença é que o depósito falso na internet não consegue arrombar a fechadura.
Como começar
- Entre como de costume e abra Passkeys nas configurações da conta.
- Adicione uma passkey no dispositivo que você realmente usa. Dê a ela um nome que você vai reconhecer depois.
- Adicione uma segunda se puder (celular e notebook, ou uma chave física).
- Na próxima visita, use “Entrar com uma passkey”, ou deixe o navegador oferecer uma no campo de e-mail.
Você ainda tem a sua senha. É uma porta a mais, não a demolição da antiga. Para o resto de como protegemos as contas e as conexões de IA, veja a página de segurança.