Passkeys vs passwords: o futuro da autenticação em 2026

Introdução: o fim das passwords está próximo?

Em 2026, a indústria tecnológica está a viver uma transição histórica: as passkeys — credenciais de autenticação baseadas em criptografia de chave pública — estão a substituir as passwords tradicionais em serviços como Google, Apple, Microsoft, Amazon e centenas de outros. A aliança FIDO Alliance, que inclui as maiores empresas de tecnologia do mundo, define as passkeys como o futuro da autenticação.

Para utilizadores em Portugal e no Brasil, esta transição tem implicações significativas: as passkeys eliminam o phishing por conceção (não há password para roubar), tornam o credential stuffing impossível, e simplificam drasticamente o login — basta usar a impressão digital, Face ID ou PIN do dispositivo.

No entanto, a transição não é instantânea. Milhares de serviços ainda dependem exclusivamente de passwords, e a coexistência entre passkeys e passwords vai durar anos. Neste guia, explicamos como as passkeys funcionam, quais serviços já as suportam, e como um gestor de passwords é essencial durante (e após) esta transição.

O que são passkeys e como funcionam?

As passkeys utilizam o protocolo FIDO2/WebAuthn — um standard aberto de autenticação. Em vez de armazenar uma password (segredo partilhado entre o utilizador e o servidor), o sistema gera um par de chaves criptográficas: uma chave privada (guardada no seu dispositivo ou gestor de passwords) e uma chave pública (armazenada no servidor do serviço).

Quando faz login, o seu dispositivo assina um desafio criptográfico com a chave privada, e o servidor verifica com a chave pública. A chave privada nunca sai do seu dispositivo — não pode ser roubada por phishing, intercetada em trânsito, ou obtida numa fuga de dados do servidor (porque o servidor só tem a chave pública, que é inútil sem a privada).

Na prática, o utilizador vê um processo simples: clica em 'Login com passkey', autentica-se com biometria (impressão digital ou Face ID) ou PIN do dispositivo, e está dentro. Não há passwords para memorizar, digitar ou alterar periodicamente — uma mudança radical face às práticas tradicionais de passwords.

Passkeys vs passwords: comparação detalhada

Segurança contra phishing: As passwords são vulneráveis — um site falso que imita o aspeto do banco pode capturar a sua password. As passkeys são imunes: estão criptograficamente vinculadas ao domínio do site legítimo. Um site falso em 'cgd-portugal.xyz' não consegue acionar a passkey registada para 'cgd.pt'. Esta proteção funciona automaticamente, sem que o utilizador precise de verificar URLs.

Resistência a fugas de dados: Quando um serviço sofre um breach, passwords hashadas podem ser quebradas por brute force (especialmente passwords fracas ou comuns). Com passkeys, o servidor armazena apenas a chave pública — mesmo que toda a base de dados seja exposta, as credenciais continuam seguras.

Usabilidade: Memorizar dezenas de passwords únicas e complexas é impossível sem um gestor de passwords. As passkeys eliminam esta necessidade — um toque biométrico substitui a digitação de 'xK#9mP!2qR7v'. Para utilizadores menos técnicos (pais, avós), as passkeys simplificam enormemente o acesso a serviços digitais.

Limitações das passkeys em 2026: Nem todos os serviços suportam passkeys, a sincronização entre ecossistemas diferentes (Apple → Android) ainda é imperfeita, e a recuperação de conta em caso de perda do dispositivo requer planeamento. É por isso que um gestor de passwords como o 1Password ou Bitwarden (que armazenam e sincronizam passkeys entre plataformas) é essencial durante a transição.

Quais serviços suportam passkeys em 2026?

A adoção de passkeys acelerou significativamente. Em março de 2026, os principais serviços que suportam passkeys incluem: Google (Gmail, Google Workspace, YouTube), Apple (Apple ID, iCloud), Microsoft (Outlook, Microsoft 365, Xbox), Amazon, PayPal, GitHub, Cloudflare, Adobe, Nintendo, Shopify, WhatsApp e X (Twitter).

Em Portugal, bancos como o Millennium BCP e a CGD começaram a testar passkeys em 2025 para acesso ao homebanking, embora a adoção plena ainda esteja em curso. No Brasil, o Nubank e o Mercado Livre foram pioneiros na implementação. Plataformas de pagamento como Stripe e PayPal já suportam passkeys para comerciantes.

Para verificar se um serviço específico suporta passkeys, consulte o diretório da FIDO Alliance ou sites como passkeys.directory. À medida que o standard ganha adoção, esperamos que a maioria dos serviços de média e grande dimensão implemente passkeys até final de 2027.

Gestores de passwords e passkeys: o papel crucial na transição

Paradoxalmente, os gestores de passwords tornam-se mais importantes na era das passkeys, não menos. O 1Password, Bitwarden, Dashlane e NordPass funcionam como cofres universais que armazenam simultaneamente passwords tradicionais (para os milhares de serviços que ainda as exigem) e passkeys (para serviços compatíveis).

A principal vantagem de armazenar passkeys num gestor de passwords em vez de depender exclusivamente do ecossistema nativo (iCloud Keychain, Google Password Manager) é a portabilidade entre plataformas. Se usar iPhone e Windows (combinação comum), as passkeys do iCloud Keychain não sincronizam nativamente com o Windows. Um gestor como o 1Password ou Bitwarden resolve este problema, sincronizando passkeys entre todos os seus dispositivos independentemente do sistema operativo.

Além disso, gestores como o Bitwarden (open-source) oferecem exportação de passkeys — eliminando o vendor lock-in que os ecossistemas nativos podem criar. Consulte a nossa comparação completa para ver quais gestores oferecem suporte a passkeys e como se comparam.

Como configurar passkeys nos seus serviços

Google (Gmail, YouTube, Google Drive): Aceda a myaccount.google.com → Segurança → Passkeys → Criar passkey. Autentique-se com biometria do dispositivo. A passkey fica armazenada no gestor de passwords nativo ou no seu gestor de terceiros (1Password, Bitwarden, etc.).

Apple (Apple ID): Em Definições → [Seu Nome] → Início de Sessão e Segurança → Passkeys. No macOS, em Preferências do Sistema → Apple ID. As passkeys sincronizam automaticamente via iCloud Keychain entre dispositivos Apple.

Microsoft (Outlook, Office 365): Em account.microsoft.com → Segurança → Opções de segurança avançadas → Adicionar passkey. Suporta Windows Hello (facial/impressão digital), chave de segurança USB (YubiKey) ou gestor de passwords compatível.

Estratégia recomendada: Comece por ativar passkeys nos 5 serviços mais críticos (email principal, banco, armazenamento cloud, redes sociais, serviço de pagamentos). Mantenha as passwords como fallback — nunca desative a password antes de confirmar que a passkey funciona em todos os seus dispositivos. Use um gestor de passwords que suporte passkeys para centralizar tudo num único cofre seguro.

O futuro: passkeys, MFA e zero-password

A visão da FIDO Alliance é um mundo 'zero-password' onde a biometria e chaves criptográficas substituem completamente os segredos partilhados. Em 2026, estamos a caminho mas ainda longe desse objetivo. A coexistência vai durar pelo menos até 2030, com uma 'cauda longa' de serviços mais pequenos a manter passwords tradicionais.

Para utilizadores previdentes, a estratégia ideal é: 1) Ativar passkeys em todos os serviços que as suportam. 2) Manter um gestor de passwords robusto para passwords tradicionais e como cofre de passkeys. 3) Ativar MFA em todos os serviços que ainda usam passwords. 4) Monitorizar fugas de dados com monitorização da dark web.

As passkeys não eliminam a necessidade de segurança em camadas. Combinadas com antivírus (contra keyloggers e malware), VPN (contra interceção em redes públicas) e bom senso digital, formam a base de uma identidade digital segura em 2026.

Conclusão: prepare-se para a transição

As passkeys representam o maior avanço em autenticação em décadas. Eliminam phishing, simplificam o login e são mais seguras do que qualquer password. Mas a transição exige preparação: ative passkeys onde puder, mantenha um gestor de passwords para o que resta, e não abandone o MFA nos serviços que ainda dependem de passwords.

Para utilizadores em Portugal e no Brasil, o 1Password e o Bitwarden são as melhores opções para gerir a coexistência de passkeys e passwords — ambos suportam armazenamento de passkeys e sincronização entre plataformas. Consulte a nossa comparação de gestores de passwords para uma análise detalhada.