Passkeys (Chaves de Acesso): Como Substituir Passwords com FIDO2/WebAuthn em 2026

Passkeys · FIDO2 · WebAuthn · Autenticação · Segurança · Passwordless  |  ✎ Duarte Spínola  |  13 de Junho de 2026

Uma passkey é uma credencial criptográfica FIDO2/WebAuthn que substitui passwords tradicionais. Em vez de digitar uma palavra-passe que pode ser roubada, pescada ou reutilizada, o utilizador desbloqueia o dispositivo com biometria (Face ID, Touch ID, Windows Hello) ou PIN, e a chave privada FIDO2 assina um desafio criptográfico localmente no dispositivo. O servidor apenas recebe a chave pública, que é inútil para atacantes. Este artigo explica o que são, como funcionam, como activar nos principais serviços (Google, Microsoft 365, Apple, GitHub, etc.), como migrar de passwords, como recuperar acesso se perder o dispositivo, e os 10 problemas mais comuns.

1. O que são passkeys e porque importam em 2026

Uma passkey é uma credencial FIDO2 sincronizável que substitui passwords. Em 2026, é o método de autenticação recomendado pela Microsoft, Google, Apple, FIDO Alliance, NCSC (UK), CISA (EUA), e ANSSI (França). Razões para a adopção maciça:

2. Cenários onde se aplica

• [T] Login em contas Google (Gmail, YouTube, Workspace) sem password.
• [T] Login em Microsoft 365 / Entra ID com Windows Hello ou chave de hardware.
• [T] Login em Apple ID, iCloud, e sites/apps em iPhone/iPad/Mac.
• [T] Login em GitHub, GitLab, Bitbucket — agora suportam passkeys nativamente.
• [T] Login em Amazon, PayPal, Adobe, WhatsApp, eBay — principais adopters em 2026.
• [D] SSH/Git para developers com chaves FIDO2 (YubiKey, SoloKey).
• [D] VPNs empresariais (WireGuard com FIDO2, OpenVPN com plugin).
• [D] Sistemas on-premises com Active Directory + Azure AD Kerberos + FIDO2.

3. Diagnóstico prévio

Antes de configurar passkeys, confirme 3 coisas no seu ambiente:

3.1 O dispositivo suporta platform authenticator?

3.2 O browser suporta WebAuthn?

Todos os browsers modernos suportam WebAuthn desde 2019:

• Chrome/Edge 67+ (2018) — total suporte.
• Firefox 60+ (2018) — total suporte.
• Safari 13+ (2019) — total suporte, com plataforma Apple (iCloud Keychain).
• Brave, DuckDuckGo, Opera, Vivaldi — total suporte.

3.3 O site/serviço suporta passkeys?

Lista parcial dos principais adopters em 2026-06-13:

• Google (Gmail, Workspace, YouTube) — desde 2022, sync desde 2024.
• Microsoft (Entra ID, Microsoft Account) — desde 2024, sync 2024.
• Apple ID — desde 2022.
• GitHub, GitLab, Bitbucket — 2023-2024.
• Amazon, PayPal, eBay, Best Buy, Target — 2023-2025.
• Adobe, Canva, Figma, Notion, Slack — 2024-2025.
• WhatsApp, Signal — 2024-2025.

4. Solução genérica (passo a passo)

A sequência de configuração é sempre:

1. Verificar suporte do dispositivo (TPM/biometria).
2. Actualizar o sistema operativo e browser para a versão mais recente.
3. Activar screen lock (PIN ou biometria) — sem ele, não há passkey.
4. Activar sync de passwords (iCloud Keychain, Google Password Manager, Microsoft Account).
5. Registar passkey no site desejado (passo 5-9 abaixo por plataforma).
6. Registar segunda passkey ou chave de hardware (backup — passo 10).
7. Remover password (opcional, depende do serviço — alguns ainda exigem).
8. Validar login apenas com passkey.

5. Configurar passkeys no Google (Gmail, Workspace, YouTube)

5.1 Para contas pessoais Gmail

1. Vá a https://myaccount.google.com/security.
2. Em "Como iniciar sessão no Google", clique Chaves de acesso e chaves de segurança.
3. Clique Criar chave de acesso → o sistema detecta o dispositivo.
4. Confirme com PIN do Windows Hello, Touch ID, ou Face ID.
5. A passkey fica guardada no Google Password Manager (sincroniza com Chrome em todos os devices Android).
6. Para Apple/iPhone/iPad: durante a criação, aparece opção "Guardar numa chave de acesso de cross-account" (iCloud Keychain) — recomendado se usa ecossistema misto.

5.2 Para Google Workspace (administrador)

1. Admin Console → Segurança → Autenticação → Chaves de acesso.
2. Activar para utilizadores ou grupos específicos.
3. Forçar enrollment em Authentication → 2-step verification → Passkeys.

5.3 Validar

Faça logout e tente login: aparece "Usar chave de acesso" em vez de "Introduzir password".

6. Configurar passkeys no Microsoft 365 / Entra ID

6.1 Activar como administrador (Entra ID)

1. Entra admin center (https://entra.microsoft.com) → Protection → Authentication methods → Passkey (FIDO2).
2. Enable → seleccionar Allow para o grupo piloto (recomendado) ou All users.
3. Configurar Key restrictions (recomendado para admins: só hardware keys + device-bound passkeys em Microsoft Authenticator).
4. Save.

6.2 Registar passkey como utilizador

1. Vá a https://mysignins.microsoft.com → Security info.
2. Add sign-in method → Passkey → Add.
3. O sistema pede para escolher o dispositivo ou chave de hardware.
4. Confirme com Windows Hello (PIN/biometria) ou toque na chave de hardware.
5. A passkey fica registada. No próximo login em login.microsoft.com, aparece opção "Usar a sua chave de acesso".

6.3 Para Microsoft Account pessoal (Outlook.com, OneDrive, Xbox)

1. Vá a https://account.microsoft.com/security → Advanced security options → Add a new way to sign in → Passkey.
2. Confirme biometria.

7. Configurar passkeys no Apple (iPhone, iPad, Mac)

7.1 Pré-requisitos

• iCloud Keychain activado (iPhone/iPad: Settings → [seu nome] → iCloud → Passwords and Keychain; Mac: System Settings → Apple ID → iCloud → Passwords & Keychain).
• Two-factor authentication activado no Apple ID.
• iOS 16+ / macOS Ventura+ para passkeys nativas.

7.2 Criar passkey automaticamente

Quando um site suporta passkeys, o Safari oferece "Use a passkey from iCloud Keychain". Toque no ecrã, autentique com Face ID ou Touch ID, e está feito.

7.3 Criar passkey manualmente

1. Abra o site no Safari → login tradicional.
2. Vá a Settings → Passwords (ou System Settings → Passwords no Mac).
3. Encontre o site → toque → Set Up Passkey.
4. Siga as instruções do site.

7.4 Usar passkey de iPhone noutro dispositivo

Se está no PC Windows ou Android, pode ler QR code com iPhone para autenticar via Bluetooth. O site mostra QR code, iPhone lê, Face ID confirma. Funciona sem instalar nada no PC. Apple Support.

8. Configurar passkeys no GitHub

1. Login → clique no avatar → Settings → Password and authentication.
2. Em Two-factor authentication ou Authentication security, veja se "Passkeys" está disponível (a maioria dos accounts desde 2023-2024).
3. Add passkey → confirme com biometria.
4. A passkey substitui TOTP como segundo factor e permite login directo.

9. Implementação para developers: WebAuthn no seu site

9.1 Backend (Node.js exemplo)

re style="margin:0;background-color:#1e2030;padding:0;border:none;font-family:'Courier New',Courier,monospace;font-size:13px;line-height:1.6;color:#cdd6f4;white-space:pre-wrap;word-break:break-all;"// routes/webauthn.js
import { generateRegistrationOptions, verifyRegistrationResponse,
         generateAuthenticationOptions, verifyAuthenticationResponse } from '@simplewebauthn/server';
import { isoBase64URL } from '@simplewebauthn/server/helpers';

const rpName = 'kbase.pt';
const rpID = 'kbase.pt';
const origin = 'https://kbase.pt';

app.post('/register/options', async (req, res) => {
  const user = await db.users.findById(req.userId);
  const options = await generateRegistrationOptions({
    rpName, rpID, userID: user.id, userName: user.email,
    authenticatorSelection: { residentKey: 'preferred', userVerification: 'preferred' }
  });
  await db.challenges.save(user.id, options.challenge);
  res.json(options);
});

app.post('/register/verify', async (req, res) => {
  const user = await db.users.findById(req.userId);
  const challenge = await db.challenges.get(user.id);
  const verification = await verifyRegistrationResponse({
    response: req.body, expectedChallenge: challenge,
    expectedOrigin: origin, expectedRPID: rpID,
  });
  if (verification.verified) {
    await db.credentials.save(user.id, verification.registrationInfo);
    res.json({ ok: true });
  } else {
    res.status(400).json({ error: 'Falha no registo' });
  }
});

9.2 Frontend (JavaScript)

re style="margin:0;background-color:#1e2030;padding:0;border:none;font-family:'Courier New',Courier,monospace;font-size:13px;line-height:1.6;color:#cdd6f4;white-space:pre-wrap;word-break:break-all;"const options = await fetch('/register/options', { method: 'POST' }).then(r => r.json());
options.challenge = base64urlToBuffer(options.challenge);
options.user.id = base64urlToBuffer(options.user.id);

const credential = await navigator.credentials.create({ publicKey: options });
const response = sendJSON(credential);

await fetch('/register/verify', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify(response)
});

9.3 Bibliotecas oficiais

• @simplewebauthn/server (Node.js) — simplewebauthn.dev
• py_webauthn (Python) — github.com/duo-labs/py_webauthn
• webauthn4j (Java) — github.com/webauthn4j/webauthn4j

10. Backup e recuperação (a parte que ninguém explica)

10.1 Regra de ouro: 2 passkeys no mínimo

• 1 principal — telemóvel/computador do dia-a-dia (biometria).
• 1 backup — chave de hardware (YubiKey 5 NFC, Feitian K9, ou similar) guardada em local seguro (cofre, gaveta fechada).

10.2 Recovery codes

Muitos serviços oferecem recovery codes (códigos de uso único) ao activar 2FA. Imprima-os e guarde em local seguro (não no telemóvel). São a rede de segurança se ambas as passkeys falharem.

10.3 Sincronização

11. Verificação

11.1 Confirmar que a passkey está activa

• Google: https://myaccount.google.com/security → "Chaves de acesso".
• Microsoft: https://mysignins.microsoft.com → "Security info".
• Apple: Settings → Passwords (procurar por site).

11.2 Testar login sem password

1. Faça logout completo do site.
2. Apague cookies (Ctrl+Shift+Del).
3. Vá à página de login.
4. Deve aparecer "Use a passkey" / "Entrar com chave de acesso".

11.3 Validar resistência a phishing

Teste intencional: vá a um site com nome parecido (e.g. g00gle.com em vez de google.com). O browser não oferece a passkey — fica preso no ecrã de password. Isto é o domain binding do FIDO2 a funcionar.

12. Outras causas comuns (10 problemas)

Quando as passkeys "não funcionam", o problema raramente é o standard — é o contexto operacional:

1. "Não vejo opção de passkey no site" — site ainda não implementou FIDO2/WebAuthn. A lista de adopters cresce, mas é < 30% dos sites em 2026.
2. Passkey não aparece após mudança de telemóvel — esqueceu de migrar as passkeys. Em iPhone: usar Quick Start (device-to-device migration). Em Android: Google Password Manager sincroniza automaticamente se activado. Em Microsoft: a passkey fica no Microsoft Account, basta adicionar novo device.
3. "Algo correu mal" ao criar passkey — navigator.credentials.create() falhou. Causas: (a) cookies de terceiros bloqueados, (b) browser antigo, (c) antivírus a interceptar, (d) data/hora do sistema errada.
4. Passkey em iPhone não funciona no Windows — precisa de QR code + Bluetooth. Sites suportados: google.com, microsoft.com, github.com, amazon.com. Para o resto, crie passkey no PC também.
5. Chave de hardware (YubiKey) não detectada — driver ausente (Windows: instale YubiKey Manager; Linux: pacote libfido2; macOS: nativo). Ou porta USB incompatível (use USB-C ou NFC).
6. Sincronização de passkeys "não funciona" — iCloud Keychain exige iOS 16+ em todos os devices. Google Password Manager exige Chrome 110+ e Play Services actualizado.
7. 2FA legacy ainda exigida — alguns sites forçam TOTP/SMS mesmo com passkey. Razão: o site suporta passkey, mas não como substituto total. Mantenha TOTP app configurado como fallback.
8. Conflito com password manager existente — desactivar extensão de passwords do browser (1Password, Bitwarden) temporariamente. Alguns bloqueiam navigator.credentials.create().
9. Domain binding falha em iframe — o seu site embute passkey em iframe cross-origin? Não funciona. O WebAuthn exige mesmo origin.
10. Admins forçam password por compliance — algumas industrias (saúde, finanças) têm regulação que ainda exige password. Compense com passkey + password (MFA duplo).

13. Como evitar (boas práticas)

1. Registe 2 passkeys no mínimo — uma principal (biometria) e uma de hardware (YubiKey).
2. Mantenha recovery codes impressos — não em ficheiro digital, em papel no cofre.
3. Actualize SO e browser mensalmente — browsers antigos têm bugs WebAuthn (e.g. Safari 15 e challenge encoding).
4. Sincronização activada mas com password no cofre Apple/Google/MS — para que o sync funcione em novos devices.
5. Para contas críticas, prefira device-bound (Windows Hello, Microsoft Authenticator phone sign-in) ou hardware key (YubiKey, Feitian).
6. Para developers, use @simplewebauthn ou py_webauthn — não implemente WebAuthn de raiz. São standards complexos (CBOR, base64url, attestation).
7. Documente o processo para a equipa — passkeys são novos, a maioria dos utilizadores precisa de helpdesk nos primeiros 30 dias.
8. Mantenha 1 password "legacy" por enquanto — alguns serviços antigos ainda exigem, e sites que não suportam passkey não vão desaparecer amanhã.
9. Teste em vários devices antes de forçar na empresa. iPhone + Windows + Android misturado ainda tem arestas.
10. Educar utilizadores contra phishing — passkeys resolvem phishing técnico, mas vishing (voz) e SIM swap continuam a ser vetores.