Verificador de passkeys
Este browser consegue criar uma passkey? Onde é que ela fica, e segue-o para os outros dispositivos? Resposta em dez segundos, sem enviar nada para lado nenhum.
1. O que este browser sabe fazer
Lido automaticamente da API WebAuthn, nada para clicar.
...
2. Criar uma passkey de teste
O browser vai pedir confirmação por impressão digital, rosto, PIN ou chave de segurança, exatamente como em qualquer site. Uma passkey chamada 'PwdFortress passkey test' é guardada no seu fornecedor. Nenhum dado nos é enviado, e os passos para a apagar aparecem com o resultado.
Como funciona a verificação
Primeiro passo: ler o que o browser diz de si próprio através da API WebAuthn. Se existem passkeys aqui, se o dispositivo tem um autenticador integrado (Windows Hello, Touch ID, Face ID, bloqueio de ecrã Android), se podem aparecer sugestões de início de sessão no campo de utilizador e se um telemóvel pode ser usado por código QR.
Segundo passo: criar uma passkey real para este site com o nome 'PwdFortress passkey test'. O browser responde com um bloco de dados do autenticador. A ferramenta lê aí duas coisas: o AAGUID, um identificador de 16 bytes com que os fornecedores de passkeys se identificam, e a flag 'backup eligible', que diz se esta passkey é sincronizada pelo fornecedor ou ligada a este único dispositivo. O AAGUID é comparado com a lista comunitária mantida pelos programadores de passkeys (lida a 18 de outubro de 2026).
Nenhum servidor está envolvido. A chave pública devolvida pelo browser é descartada, o desafio é aleatório e nunca verificado, e a passkey de teste pode ser apagada no fornecedor logo a seguir.
O que sai do seu dispositivo: nada
A página não faz nenhum pedido de rede durante o teste. Os seus dados biométricos nunca saem do dispositivo de qualquer forma: o WebAuthn só devolve uma chave pública e metadados. Pode confirmá-lo no separador Rede das ferramentas de programador.
- W3C WebAuthn Level 3, section 6.1 Authenticator Data (flags BE, BS, AT; AAGUID layout) www.w3.org/TR/webauthn-3/#sctn-authenticator-data
- AAGUID to provider list, passkeydeveloper community (read 2026-10-18) github.com/passkeydeveloper/passkey-authenticator-aaguids
- Proton Pass pricing: passkeys included on every plan (read 2026-10-18) proton.me/pass/pricing
- NordPass passkeys page (read 2026-10-18) nordpass.com/passkeys/
O que esta ferramenta não pode dizer
O browser pode ocultar o fornecedor: com atestação 'none', a maioria das chaves de segurança físicas devolve um AAGUID a zero, e a ferramenta diz isso em vez de adivinhar. O resultado descreve o fornecedor que respondeu desta vez; se tiver vários (extensão do gestor e armazenamento do sistema), decide a sua escolha no seletor. 'Sincronizada' significa que o fornecedor pode sincronizar a passkey, não que já o fez em todos os dispositivos.
Perguntas frequentes
É seguro criar uma passkey de teste?
Sim. Uma passkey é um par de chaves criado para um único site, aqui pwdfortress.com. Não serve em mais nenhum lado, nenhum segredo sai do dispositivo e pode apagá-la no fornecedor a seguir. Tem as mesmas propriedades de segurança de uma passkey para qualquer outro site.
Porque é que a ferramenta diz que a minha passkey está ligada a este dispositivo?
Os dados do autenticador têm uma flag 'backup eligible'. Quando é 0, o fornecedor criou uma credencial de um só dispositivo: Windows Hello sem fornecedor de sincronização, uma chave de segurança física ou um armazenamento de perfil do browser. Perder o dispositivo é perder a passkey, por isso precisa de um segundo método ou de um fornecedor que sincronize.
A minha passkey foi para o Porta-chaves iCloud ou para o Google Password Manager. É um problema?
Não dentro desse ecossistema. O Porta-chaves iCloud sincroniza entre dispositivos Apple com a mesma conta iCloud; o Google Password Manager entre dispositivos Android e perfis Chrome com a mesma conta Google. O atrito aparece quando se mistura um iPhone com um PC Windows, ou Android com um Mac. Um gestor de palavras-passe multiplataforma é a resposta habitual.
Que gestores guardam passkeys no plano gratuito?
A 18 de outubro de 2026, o Proton Pass indica as passkeys como incluídas em todos os planos, Free incluído, com dispositivos ilimitados. O NordPass suporta passkeys em todos os planos; o plano gratuito mantém um dispositivo ativo de cada vez. O Bitwarden também guarda passkeys gratuitamente, mas não é parceiro afiliado deste site.
Porque é que o AAGUID aparece como oculto?
Os browsers substituem o AAGUID por zeros nos autenticadores que revelariam um modelo de hardware quando o site não pediu atestação. Os fornecedores de passkeys como Apple, Google, Microsoft e os gestores de palavras-passe mantêm o seu AAGUID visível para que os sites possam mostrar um ícone do fornecedor.