Já pode mover as suas passkeys de um gestor de palavras-passe para outro: o que funciona mesmo

A objeção mais comum às passkeys nunca foi sobre a criptografia. Era sobre a saída. Registava passkeys num gestor de palavras-passe e, até há pouco tempo, mudar para outro significava percorrer conta a conta e criar cada passkey de novo à mão. As pessoas repararam, e isso manteve-as nas palavras-passe.

Essa objeção está agora a ser desmontada. O mecanismo é o Credential Exchange Protocol (CXP) da FIDO Alliance, com um formato de dados que o acompanha chamado Credential Exchange Format (CXF). Se as passkeys são novas para si, comece por o que é uma passkey.

Porque é que as passkeys estavam presas, para começar

Uma palavra-passe é uma cadeia de caracteres. Pense o que pensar das exportações CSV, elas funcionam, porque uma palavra-passe pode ser escrita.

Uma passkey é uma chave privada concebida para nunca sair do seu armazenamento seguro em forma legível. É exatamente essa propriedade que torna as passkeys resistentes ao phishing e às fugas de bases de dados, e é também o que as tornava impossíveis de mover. Não havia forma segura de entregar uma a um gestor diferente, por isso não havia saída a não ser voltar a registar tudo.

Ou seja, o aprisionamento não era uma decisão comercial de um fornecedor qualquer. Era uma consequência direta do modelo de segurança. Resolvê-lo exigia um padrão, não uma funcionalidade.

O que são realmente o CXP e o CXF

As duas peças fazem trabalhos diferentes:

• CXF, o formato. Uma estrutura normalizada que descreve como as credenciais são representadas, para que o que um gestor escreve outro consiga ler.
• CXP, o protocolo. A transferência segura em si, movendo as credenciais diretamente entre dois fornecedores.

O objetivo declarado da FIDO Alliance é que as transferências não sejam feitas em claro e sejam seguras por omissão. Na prática, isso significa que a migração não é um ficheiro pousado na sua pasta de transferências.

Segundo a Bitwarden, o trabalho começou como uma prova de conceito no início de 2023 envolvendo a 1Password, a Dashlane, a Bitwarden e a NordPass, e cresceu até se tornar uma colaboração de nove organizações: Apple, Bitwarden, Dashlane, Google, Microsoft, NordPass, 1Password, Samsung e SK Telecom. Essa lista importa. Um padrão de portabilidade não vale nada se os maiores repositórios de credenciais ficarem de fora.

O que já saiu de facto

É aqui que as notícias e a realidade tendem a divergir, por isso eis o estado das coisas em vez dos anúncios.

A peça Android é a que muda o quadro, porque é onde vive a maior parte das credenciais do mundo. As notas de versão do Google Play services colocam o suporte na versão 26.21, que começou a ser distribuída a 1 de junho de 2026. Os programadores ligam-no através das APIs ProviderEventsManager, importCredentials e registerExport, na biblioteca androidx.credentials.

Repare na forma do requisito: é uma versão do Play services, não uma atualização da versão do Android. O seu telemóvel não precisa de ser novo. Precisa que o Play services esteja atualizado, e é por isso que isto chegou discretamente a muitos dispositivos sem qualquer atualização do sistema operativo.

As ressalvas honestas

Primeiro o móvel, o computador depois. Fora do ecossistema da Apple, o computador está atrasado. Se vive no Windows, a transferência é, para já, um trabalho para o telemóvel.

O suporte é por fornecedor, não universal. Ser uma das nove organizações que construíram o padrão não é o mesmo que já o ter lançado. A NordPass e a Samsung estão no primeiro grupo e ainda não no segundo. Consulte as notas de versão do seu gestor.

"Apps compatíveis" está a fazer trabalho a sério nessa frase. As duas pontas têm de o implementar. Um gestor capaz de exportar não lhe serve de nada se aquele para onde quer mudar ainda não consegue importar.

Isto ainda está em movimento. Trate qualquer tabela de suporte por fornecedor, incluindo a que está acima, como uma fotografia do momento e não como um estado permanente.

O que isto muda para si

Hoje pouca coisa, e bastante ao longo do próximo ano.

Se andava a adiar as passkeys por não querer ficar preso, essa razão em concreto está a enfraquecer. A resposta certa não é apressar uma migração. É deixar de dar tanto peso ao aprisionamento quando escolhe, e escolher um gestor pelas coisas que realmente contam: como cifra o seu cofre, se já foi auditado, se funciona em todo o lado onde trabalha, e o que acontece se perder o dispositivo.

Se está a configurar passkeys em vários ecossistemas pela primeira vez, o nosso guia de configuração de passkeys para Google, Apple e Microsoft cobre o básico. Para um fornecedor que já anuncia importações via Credential Exchange, veja a nossa nota sobre a atualização do ExpressKeys.

Como mover passkeys, na prática

Os menus exatos diferem de app para app, e vão continuar a mudar, por isso encare isto como a forma do processo e não como uma receita fixa.

1. Atualize as duas apps e o Play services. No Android, confirme que está no Play services 26.21 ou posterior. É este o passo que as pessoas saltam.
2. Confirme que o destino consegue importar. O suporte de exportação, por si só, não o leva a lado nenhum.
3. Transfira, não exporte para um ficheiro. Se a única opção oferecida for um CSV, não está a usar CXP, e passa a ter um ficheiro de texto simples com os seus segredos para destruir.
4. Verifique antes de apagar seja o que for. Inicie sessão em duas ou três contas com o novo gestor primeiro.
5. Só depois remova as cópias antigas. E veja o que o gestor antigo reteve.

O ponto quatro é o que custa contas às pessoas. Uma passkey que apagou antes de testar é uma passkey que vai voltar a registar à mão, que é exatamente o problema que este padrão foi escrito para resolver.

Fontes

• Especificações Credential Exchange Protocol (CXP) e Credential Exchange Format (CXF) da FIDO Alliance
• Bitwarden, "Security vendors join forces to make passkeys more portable for everyone" (organizações participantes, origem da prova de conceito)
• Notas de versão do Google Play services, versão 26.21 (importação e exportação de palavras-passe e passkeys no Android)
• Documentação para programadores Android, androidx.credentials ProviderEventsManager (importCredentials, registerExport)