As passkeys são seguras? O que pode (e não pode) correr mal em 2026

Resposta curta: sim, as passkeys são seguras — e contra os ataques que de facto assumem o controlo das contas, são bastante mais seguras do que as palavras-passe. Mas «segura» não é o mesmo que «nada em que pensar». Os riscos apenas se deslocam daquilo que não controlas (um site ser pirateado) para aquilo que controlas (o teu dispositivo, a tua sincronização, a tua recuperação). Este guia explica exatamente onde as passkeys são fortes, onde estão os riscos reais e como usá-las para que se mantenham seguras.

Porque as passkeys são seguras por conceção

Uma passkey substitui a tua palavra-passe por um par de chaves criptográficas. O teu dispositivo guarda uma chave privada que nunca o abandona; o site armazena apenas uma chave pública. Para iniciar sessão, o teu dispositivo assina um desafio de uso único — nunca escreves nem transmites um segredo. Essa única decisão de conceção elimina as formas mais comuns de queda das contas:

• Sem segredo partilhado para roubar por phishing. Uma passkey está ligada ao domínio exato do site, por isso uma página de phishing parecida literalmente não consegue acionar a tua passkey real. É o mais importante, porque o phishing derrota até palavras-passe fortes. (Ver o que é phishing.)
• Sem base de dados de palavras-passe para vazar. Quando um site é pirateado, vaza apenas chaves públicas — inúteis para um atacante. O desfile interminável de fugas de credenciais simplesmente deixa de importar para essa conta.
• Nada de reutilizável é enviado. O credential stuffing e a reutilização de palavras-passe — a causa da maioria dos roubos de contas — deixam de se aplicar, porque não há segredo reutilizável para capturar.

Para a comparação direta, ver passkeys vs palavras-passe.

Então, o que pode correr mal?

O ponto fraco não é a criptografia — é a logística. Eis a lista honesta de riscos:

• Um dispositivo totalmente comprometido. Se um malware ou um keylogger já estiver a correr com acesso profundo no teu telemóvel ou portátil, pode potencialmente abusar de uma sessão depois de desbloqueares. As passkeys protegem o início de sessão; não reparam um dispositivo já envenenado. Mantém o sistema atualizado e evita apps fora da loja.
• O teu dispositivo desbloqueado em mãos erradas. Uma passkey é desbloqueada pela tua biometria ou PIN do dispositivo. Alguém com o teu telemóvel e o teu PIN poderia aprovar um início de sessão. Um PIN não trivial e o bloqueio biométrico fecham a maior parte disto.
• Perder a única cópia. Se uma passkey estiver ligada ao dispositivo e não sincronizada, um dispositivo perdido ou avariado pode significar perder o acesso a essa conta.
• Confiança na sincronização. As passkeys sincronizadas são tão seguras quanto a conta através da qual sincronizam. Uma conta Apple, Google ou de gestor mal protegida torna-se o novo ponto único de falha — por isso essa conta precisa da sua própria credencial mestra forte e de 2FA.

Repara que nenhum destes pontos é sobre quebrar a cifragem — são sobre higiene do dispositivo e recuperação. É uma superfície muito mais pequena e controlável do que «qualquer um das centenas de sites que guardam a minha palavra-passe poderia ser pirateado».

Passkeys vs palavra-passe + 2FA

Pergunta-se muitas vezes se uma passkey é realmente mais segura do que uma palavra-passe forte apoiada por autenticação de dois fatores. Para a maioria das contas, sim:

Uma passkey combina, na prática, algo que tens (o teu dispositivo) com algo que és (a tua biometria) num único passo resistente ao phishing — e é por isso que é tratada como uma forma mais forte de início de sessão multifator, não um atalho. Quando há 2FA por SMS envolvida, a diferença é ainda maior, já que os códigos estão expostos a ataques de SIM-swap.

Como manter as tuas passkeys seguras na prática

• Bloqueia bem o teu dispositivo — biometria ativada, um PIN forte, bloqueio automático, sistema atualizado.
• Sincroniza através de uma casa recuperável. Guardar as passkeys num gestor de palavras-passe multiplataforma significa que não ficam presas a um só dispositivo nem a um só ecossistema, com um caminho de recuperação claro em caso de perda do telemóvel.
• Protege a conta de sincronização. Seja o que for que guarde as tuas passkeys — Apple, Google ou um gestor — precisa de uma palavra-passe mestra forte e única e da sua própria 2FA.
• Mantém um início de sessão de reserva. Para as contas importantes, regista uma segunda passkey (ou códigos de recuperação) para que um único dispositivo perdido nunca te deixe bloqueado.

Em resumo

As passkeys são seguras? Sim — e contra phishing, credential stuffing, reutilização e fugas de bases de dados, são mais seguras do que qualquer palavra-passe que pudesses escolher. Os riscos que restam não são criptográficos; são sobre o teu dispositivo e a tua recuperação: bloqueia o dispositivo, sincroniza as passkeys através de uma conta protegida e recuperável, e mantém um início de sessão de reserva para as contas que importam. Faz isto e as passkeys não são apenas seguras — são o início de sessão diário mais seguro disponível em 2026.

Guia editorial baseado no modelo documentado de passkey FIDO2/WebAuthn (chave privada no dispositivo, verificação por chave pública, ligação ao domínio) e nas práticas-padrão de segurança de contas. As ligações comerciais incluem o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliado sem custo adicional para ti.