Passkeys: iniciar sessão sem palavra-passe

Ficha complementar da lição “Passkeys: iniciar sessão sem palavra-passe” — curso Segurança Online

Uma passkey deixa-te iniciar sessão com o mesmo gesto com que desbloqueias o telemóvel ou o computador: o teu rosto, a tua impressão digital ou o teu PIN. Não há palavra-passe para memorizar nem código para copiar. Esta ficha explica o que é uma passkey, porque é mais difícil de apanhar por phishing do que qualquer coisa que se escreva, onde é seguro criar uma, e como acrescentar a primeira sem perder a via de volta.

Uma nota de vocabulário, primeiro, porque em português vais encontrar duas formas e ambas são legítimas: a Apple escreve chaves-passe, a Microsoft e a Google escrevem chaves de acesso. Nenhuma autoridade portuguesa arbitrou. Aqui usamos passkey, que é o termo da lição, e convém não confundir chave de acesso com a chave mestra do teu gestor de palavras-passe: são coisas diferentes.

A. Porque é que isto conta

As palavras-passe têm duas fraquezas que nenhum cuidado remove por completo: podem ser roubadas aos sítios que as guardam, e podem ser escritas numa página que apenas parece genuína. Um segundo fator ajuda muito, mas um código também pode ser escrito na página errada.

Uma passkey remove as duas. O sítio nunca guarda nada que valha a pena roubar, e o teu dispositivo só responde ao sítio para o qual a passkey foi criada. É por isso que o NCSC britânico diz hoje que as passkeys devem, em geral, ser usadas onde os serviços as ofereçam.

O que muda é onde fica a proteção. O segredo já não vive na tua memória, mas nos teus dispositivos, e o bloqueio de cada dispositivo passa a ser o que o guarda.

Em Portugal, ainda ninguém oficializou isto

Vale a pena dizê-lo com clareza, porque é o ponto em que esta ficha se afasta das outras: nenhuma fonte pública portuguesa trata ainda as passkeys. Nem o CNCS na sua área para o cidadão, nem a CNPD (Portugal), nem o Banco de Portugal, nem a ANACOM, nem o gov.pt. A Chave Móvel Digital é apresentada como «meio de autenticação e assinatura digital certificado pelo Estado português», sem qualquer referência às normas FIDO ou WebAuthn: não é uma passkey, é outro mecanismo. O que existe em português europeu é a documentação dos fabricantes, que é boa, e é ela que sustenta esta ficha. A parte normativa fica em fontes inglesas, e diz-se.

B. Conceitos-chave

Seis ideias sobre o que é uma passkey e o que a mantém segura.

Passkey

Uma credencial de início de sessão feita de duas chaves digitais que combinam entre si, criada pelo teu dispositivo para um sítio ou uma aplicação em concreto. Baseia-se em normas abertas: a Google escreve, em português, que as chaves de acesso são «baseadas nas normas da FIDO Alliance e do W3C», e por isso funcionam nos principais sistemas e navegadores.

Porque é que isto te interessa: desbloqueia-se da mesma maneira que desbloqueias o dispositivo. Não há nada para inventar, memorizar ou reutilizar.

A metade pública e a metade privada

A metade pública é entregue ao sítio, e por si só não serve para nada. A metade privada fica contigo, no dispositivo ou no gestor de palavras-passe, e o sítio nunca a conhece. Quando inicias sessão, o sítio lança um desafio e o teu dispositivo responde-lhe com a metade privada. A Microsoft descreve o mecanismo em português como criptografia de chave pública.

Porque é que isto te interessa: se o sítio sofrer uma fuga de dados, não há lá palavra-passe para roubar nem nada que permita a alguém iniciar sessão em teu nome.

Ligada a um só sítio

Cada passkey está ligada ao endereço do sítio que a criou. O navegador e o sistema operativo garantem que só pode ser usada ali.

Porque é que isto te interessa: uma cópia convincente do sítio não obtém nada, porque o teu dispositivo não a reconhece. É isto que significa «resistente a phishing», expressão que a Google usa tal e qual em português: as chaves de acesso são «resistentes a phishing, reutilização de credenciais roubadas e outros ataques remotos». O dispositivo verifica o endereço por ti, e é uma verificação que nenhuma pessoa apressada faz tão bem.

O bloqueio do ecrã

Para usar uma passkey, desbloqueias o dispositivo com o rosto, a impressão digital, o PIN ou o padrão. A Apple descreve-o como Face ID ou Touch ID; a Microsoft chama-lhe gesto de desbloqueio. A biometria nunca vai para o sítio: só serve para abrir o dispositivo.

Porque é que isto te interessa: uma passkey é tão segura como o bloqueio que a abre. Um código curto ou adivinhável, ou um dispositivo que outras pessoas conseguem desbloquear, enfraquece todas as passkeys que lá estão.

Passkeys sincronizadas e ligadas ao dispositivo

As passkeys criadas em telemóveis e computadores são normalmente sincronizadas: guardadas de forma cifrada através da tua conta Apple, Google ou do teu gestor de palavras-passe, e restauradas quando configuras um dispositivo novo. A Apple sincroniza-as no Porta-chaves do iCloud; a Microsoft deixa-te escolher entre o Gestor de Palavras-passe da Microsoft, um dispositivo móvel, uma chave de segurança física ou o Windows Hello. Algumas passkeys nunca saem de um único dispositivo — as que ficam numa chave de segurança física, por exemplo.

Porque é que isto te interessa: uma passkey sincronizada sobrevive à perda do telemóvel, desde que continues a conseguir entrar na conta que a sincroniza. Essa conta merece a tua melhor proteção.

O telemóvel como ponte

Num computador que não tem a tua passkey, a página de início de sessão pode mostrar um código QR. Lês o código com o telemóvel, que confirma que os dois dispositivos estão perto um do outro, e a sessão abre.

Porque é que isto te interessa: podes usar uma passkey num computador novo sem criar lá outra. E é a razão para evitar criar passkeys em computadores que não são teus.

C. Um exemplo concreto: o portátil em casa de uma amiga

A Rita está a passar uns dias em casa de uma amiga e precisa de ver o e-mail no portátil dela. Ao iniciar sessão, o serviço oferece-se para criar uma passkey, «para a próxima ser mais rápido». É tarde, e ela quase toca em sim.

Para, porque se lembra do que guarda uma passkey: o bloqueio do dispositivo. Naquele portátil, isso é a palavra-passe da amiga, e qualquer pessoa da casa que a saiba poderia abrir o e-mail da Rita sem nunca ver o dela.

O que mudou o desfecho

• A Rita escolheu «Agora não» no portátil da amiga, e acabou de iniciar sessão com a palavra-passe e o segundo fator.
• Terminou a sessão antes de devolver o portátil.
• Em casa, criou a passkey no seu próprio telemóvel, que tem um código de seis dígitos que só ela sabe.
• Na vez seguinte em que precisou do e-mail noutro computador, usou o código QR e o telemóvel em vez de criar outra passkey.

Nada correu mal. A diferença foi uma pergunta: de quem é o bloqueio que iria guardar a chave?

D. Experimenta: a tua primeira passkey (20 minutos)

Quatro passos curtos, nesta ordem. É o primeiro que decide quão seguros são os outros.

Passo 1 — Verificar o bloqueio do ecrã

• No telemóvel ou no computador que vais usar, confirma que o bloqueio do ecrã está ativo.
• Num telemóvel, prefere um código de pelo menos seis dígitos que ninguém consiga associar a ti. É a recomendação R5 do Cyber Welfare, e passa agora a abrir também as tuas passkeys.
• Se mais alguém consegue desbloquear este dispositivo, escolhe outro.

Passo 2 — Acrescentar uma passkey ao e-mail principal

• Inicia sessão no e-mail principal e abre as definições de segurança.
• Procura uma opção como «Chaves de acesso», «Chaves-passe», «Chaves de acesso e chaves de segurança» ou «Iniciar sessão sem palavra-passe». Nem todos os serviços já a oferecem.
• Segue as indicações e confirma com o rosto, a impressão digital ou o PIN.

Passo 3 — Entrar com ela uma vez

• Termina a sessão na conta e volta a entrar, escolhendo a passkey.
• Fá-lo agora, e não no dia em que estiveres com pressa.

Passo 4 — Verificar a via de volta

• Nas mesmas definições de segurança, confirma que o e-mail e o número de telefone de recuperação estão atualizados.
• Se o serviço oferecer códigos de reserva — que alguns serviços chamam códigos de recuperação e a Microsoft chama códigos de segurança —, guarda um conjunto num sítio a que chegues sem o telemóvel.
• Mantém a palavra-passe no teu gestor: muitos serviços continuam a aceitá-la como outra via de entrada, e podes precisar dela num dispositivo onde a passkey não esteja disponível.

Quando isto funcionar no e-mail, repete o passo 2 na conta seguinte que te importe, sempre que ela oferecer uma passkey.

E. Vídeos, artigos e outros recursos

Primeiro a documentação dos fabricantes em português europeu — é o que existe nesta língua —, depois as fontes normativas e institucionais em inglês.

Apple (pt-PT) — Usar chaves-passe para iniciar sessão em sites e aplicações no iPhone
O Manual de Utilização do iPhone em português europeu, onde o termo é chaves-passe: substituem as palavras-passe, desbloqueiam-se com Face ID ou Touch ID, e sincronizam no Porta-chaves do iCloud.
https://support.apple.com/pt-pt/guide/iphone/iphf538ea8d0/ios

Apple (pt-PT) — Utilizar a app Palavras-passe para criar, gerir e partilhar palavras-passe e chaves-passe
Palavras-passe e chaves-passe no mesmo sítio, com avisos para as que estão fracas, comprometidas ou reutilizadas.
https://support.apple.com/pt-pt/120758

Microsoft (pt-PT) — Criar e guardar uma chave de acesso
Os três passos, e as quatro escolhas de onde a guardar: gestor da Microsoft, dispositivo móvel, chave de segurança física, ou Windows Hello. Atenção ao endereço: o título da página é este, o do endereço não.
https://support.microsoft.com/pt-pt/account-billing/a-iniciar-sess%C3%A3o-com-uma-chave-de-acesso-09a49a86-ca47-406c-8acc-ed0e3c852c6d

Google — Ferramentas de autenticação para um início de sessão seguro
O Centro de segurança da Google em português europeu: as chaves de acesso «baseadas nas normas da FIDO Alliance e do W3C» e «resistentes a phishing, reutilização de credenciais roubadas e outros ataques remotos».
https://safety.google/intl/pt-PT_pt/authentication/

digital.gov.pt — Identidade Digital (atualizado a 23 de outubro de 2025)
Para comparar: a Chave Móvel Digital como meio de autenticação certificado pelo Estado. Não é uma passkey, e a página não nomeia FIDO nem WebAuthn.
https://digital.gov.pt/pt/servicos-publicos-digitais/identidade-digital

FIDO Alliance — Passkeys
Em inglês: o que são as passkeys, a diferença entre sincronizadas e ligadas ao dispositivo, e o início de sessão entre dispositivos, escrito por quem redige as normas.
https://fidoalliance.org/passkeys/

NCSC (Reino Unido) — Passkeys are more secure than traditional ways to log in
Em inglês, abril de 2026: porque é que as passkeys resistem ao phishing, e porque é que a verificação em dois passos continua a ser um recurso importante.
https://www.ncsc.gov.uk/blogs/passkeys-are-more-secure-than-traditional-ways-to-log-in

NCSC (Reino Unido) — Leave passwords in the past: passkeys are the future
Em inglês: a posição da autoridade britânica de que as passkeys devem passar a ser o método por omissão. É a tomada de posição que ainda não existe em Portugal.
https://www.ncsc.gov.uk/news/ncsc-leave-passwords-in-the-past-passkeys-are-the-future

Ligações verificadas em setembro de 2026.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Competências, ao nível FL2. Vem depois das lições sobre o segundo fator, e introduz o método de início de sessão que torna o phishing muito mais difícil.

Competências

• Criar uma passkey num serviço que a ofereça.
• Iniciar sessão com uma passkey, incluindo noutro computador através do telemóvel.
• Verificar as opções de recuperação antes de depender de uma forma nova de iniciar sessão.

Para profissionais e organizações

• Saber que o mesmo mecanismo resistente ao phishing está nas chaves FIDO que o CNCS inclui no seu guia de autenticação multifator, e que a passkey é a sua forma sem hardware dedicado.

Consciência

• Perceber que o sítio guarda apenas a metade pública de uma passkey, que por si só não serve para nada.
• Saber que uma passkey está ligada a um só sítio, e que por isso uma página falsa não obtém nada.
• Reconhecer que quem passa a guardar o segredo é o bloqueio do ecrã e a conta que sincroniza.
• Aceitar que em Portugal isto ainda não tem uma posição oficial: a decisão é tua, e informada por fabricantes e por autoridades estrangeiras.

Para futuros formadores e embaixadores

• Declarar as duas formas portuguesas à primeira ocorrência — chaves-passe na Apple, chaves de acesso na Microsoft e na Google — e não inventar uma terceira.
• Manter separadas a chave de acesso e a chave mestra do gestor: é a confusão mais fácil de fazer em português.

Comportamento Seguro

• Criar passkeys apenas em dispositivos teus, e que só tu consegues desbloquear.
• Manter uma via de volta a funcionar: dados de recuperação, códigos de reserva e o gestor de palavras-passe.

Para organizações

• Oferecer a passkey como opção nas contas de cliente, sem remover ainda o segundo fator tradicional.

G. Perguntas para levar contigo

1. Se o teu e-mail principal te oferecesse hoje uma passkey, em que dispositivo a criarias? Quem mais consegue desbloquear esse dispositivo?
2. Que conta sincroniza as tuas passkeys, e quão bem está essa conta protegida?
3. Se perdesses todos os teus dispositivos ao mesmo tempo, por onde voltavas a entrar?
4. Já te ofereceram criar uma passkey num computador que não era teu? O que respondeste?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare que se aplicam aqui de forma mais direta.

1. Guardar o bloqueio

• R5 — Define um PIN de seis dígitos nos dispositivos móveis. Passa agora a abrir também as tuas passkeys.
• R7 — Bloqueio do ecrã por inatividade, para que um dispositivo deixado sozinho se tranque a si mesmo.
• MS4 — Onde for possível, um código alfanumérico de 8 caracteres ou mais.

Compromisso mínimo: confirma que o dispositivo onde vais criar a tua primeira passkey tem um bloqueio do ecrã que só tu sabes abrir.

2. Manter uma via de volta

• R2 — Guardar as palavras-passe em segurança, num gestor de confiança. Vais continuar a precisar delas em todos os sítios que ainda não oferecem passkeys.
• R4 — Manter um segundo fator nas contas, e guardar os códigos de reserva num sítio a que chegues sem o telemóvel.
• R8 — Ativa os alertas de início de sessão nas contas, também na conta que sincroniza as tuas passkeys.

Compromisso mínimo: acrescenta uma passkey ao e-mail principal, e verifica no mesmo dia os dados de recuperação dessa conta.

Em resumo

• Uma passkey é um par de chaves. O sítio guarda apenas a metade pública, que por si só não serve para nada; a metade privada fica contigo.
• Está ligada a um só sítio, e por isso uma página falsa não obtém nada dela. A Google chama a isto ser resistente a phishing.
• É tão segura como o bloqueio do ecrã que a abre: cria passkeys só em dispositivos teus, que só tu desbloqueias.
• Em português há duas formas para o termo — chaves-passe na Apple, chaves de acesso na Microsoft e na Google — e nenhuma autoridade portuguesa arbitrou ainda.
• Mantém uma via de volta: dados de recuperação, códigos de reserva e o gestor de palavras-passe.

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.