Como passkeys substituem senhas sem enviar um segredo ao site

Senhas funcionam como segredos compartilhados: o usuário conhece uma sequência e o serviço mantém dados capazes de validar essa sequência. Mesmo quando o banco guarda apenas uma representação protegida, a autenticação ainda depende de algo que pode ser digitado no lugar errado, reutilizado ou capturado. Uma passkey muda essa relação. Em vez de enviar um segredo ao site, o dispositivo produz uma assinatura que o servidor consegue conferir.

O nome descreve uma experiência de uso, não um novo algoritmo isolado. Na web, passkeys são implementadas com WebAuthn e padrões FIDO, que coordenam navegador, sistema operacional, autenticador e serviço. O resultado pode parecer simples — desbloquear com rosto, digital, PIN ou padrão —, mas a prova usada pelo site é criptográfica e diferente do método local de desbloqueio.

O cadastro cria duas chaves

Quando o usuário registra uma passkey, o serviço envia parâmetros de criação ao navegador. O autenticador gera um par assimétrico: uma chave pública e uma chave privada. A pública volta ao serviço e fica associada à conta. A privada não é enviada ao site; ela permanece sob controle do autenticador ou do gerenciador de credenciais.

Cada credencial também é vinculada ao chamado Relying Party ID, normalmente derivado do domínio do serviço. Isso separa as credenciais: a passkey criada para um domínio não é uma chave universal que qualquer página pode pedir. O serviço armazena informações suficientes para identificar a credencial e verificar assinaturas, mas não recebe material que permita produzir essas assinaturas por conta própria.

O login assina um desafio único

Na autenticação, o servidor envia um desafio imprevisível. O navegador procura uma credencial compatível com o domínio e pede autorização ao usuário. Depois da verificação local, o autenticador usa a chave privada para assinar dados que incluem o desafio e informações sobre o contexto da operação. O servidor confere a assinatura com a chave pública cadastrada.

O desafio muda a cada tentativa. Assim, copiar uma resposta anterior não basta para repetir o login. O servidor não precisa reconstruir nem conhecer a chave privada: ele apenas verifica se a assinatura poderia ter sido produzida pela credencial correspondente.

Por que a página falsa perde a vantagem

Em um golpe de phishing, uma página costuma imitar a interface do serviço verdadeiro para convencer a vítima a entregar uma senha. Com passkeys, o navegador e o sistema verificam o domínio antes de oferecer a credencial. Um endereço parecido, mas diferente, não corresponde ao identificador para o qual a passkey foi criada e não consegue solicitar a chave legítima.

Essa proteção não torna a conta invulnerável. Código malicioso executado dentro da origem verdadeira, roubo de uma sessão já autenticada, comprometimento do dispositivo e abuso do processo de recuperação continuam sendo riscos distintos. A resistência a phishing descreve principalmente a impossibilidade de reutilizar a credencial em um domínio impostor.

A biometria apenas libera a credencial localmente

Impressão digital e reconhecimento facial não são enviados ao serviço. Eles podem ser usados pelo aparelho para verificar que a pessoa presente está autorizada a acionar a chave privada. Um PIN ou padrão local pode cumprir a mesma função. Para o site, o resultado relevante é a assinatura válida e, quando exigido, a indicação de que houve verificação do usuário.

Essa distinção também explica por que trocar o método de desbloqueio do aparelho não exige cadastrar uma nova impressão digital em cada site. O serviço conhece a chave pública, não o rosto, o dedo ou o código usado para liberar a credencial.

Sincronização troca isolamento por recuperação

Passkeys podem ficar vinculadas a um dispositivo ou ser sincronizadas por um gerenciador de credenciais. A sincronização facilita a entrada em um aparelho novo e reduz a chance de bloqueio após perda ou quebra. Em contrapartida, a proteção da conta do provedor, do processo de recuperação e da sincronização passa a fazer parte do modelo de segurança. Estudos comparativos tratam essa concentração de confiança como uma diferença importante em relação a chaves mantidas somente em hardware.

Para credenciais não sincronizadas, é prudente cadastrar mais de um autenticador ou confirmar um caminho de recuperação antes de depender exclusivamente de uma única chave. O próprio WebAuthn não define como serviços devem recuperar contas quando todos os autenticadores são perdidos.

A migração não elimina automaticamente o elo fraco

Muitos serviços mantêm senha, e-mail ou SMS como alternativas enquanto adotam passkeys. Isso ajuda usuários a recuperar o acesso, mas também pode preservar uma rota mais fácil para invasores. A segurança final depende do caminho mais fraco que ainda consiga redefinir ou assumir a conta.

Passkeys resolvem um problema específico e relevante: removem do login cotidiano um segredo reutilizável que o usuário precisa entregar ao site. O ganho é maior quando o serviço também protege recuperação, sessões e alterações sensíveis, e quando o usuário mantém seus dispositivos e o gerenciador de credenciais seguros.