Passkeys: confirme como entrar se perder o telemóvel

Entrar numa conta com a impressão digital ou o código do telemóvel tornou-se mais comum. No Passkey Index 2026, publicado em 15 de outubro pela FIDO Alliance, as chaves de acesso representam, em média, 36% dos inícios de sessão bem-sucedidos nos serviços que forneceram essa medida. Mas conseguir entrar depressa hoje não responde a outra pergunta: como entrar amanhã se perder o aparelho?

A resposta depende de onde a chave está guardada, de haver sincronização e das opções de recuperação da conta. Uma passkey não fica necessariamente presa a um único telemóvel. Também não aparece automaticamente em qualquer equipamento novo. Para leitores em Portugal, no Brasil ou noutro país lusófono, importa distinguir o método de entrada do plano para recuperar o acesso.

O que o novo relatório realmente mede

O índice reúne dados confidenciais de 15 serviços de consumo, entre os quais Google, Microsoft, Amazon e WhatsApp. O valor de 36% resulta de 12 participantes e é uma média não ponderada: cada serviço que respondeu conta de forma igual, independentemente da sua dimensão. Não significa que 36% de todas as entradas na internet, ou das contas portuguesas e brasileiras, já usem passkeys.

A comparação com os 26% de 2025 também exige cuidado. O grupo cresceu de nove para 15 participantes; não é uma medição repetida exatamente nas mesmas organizações. A FIDO, associação que promove estes padrões, apresenta a evolução como indicativa. Além disso, a medida de entradas inclui novas confirmações de identidade, mas exclui a recuperação de contas. É precisamente essa exceção que merece preparação do utilizador.

A impressão digital não é a chave enviada ao site

Uma chave de acesso é uma credencial criptográfica associada à conta num determinado serviço. O site guarda uma chave pública; a chave privada permite comprovar o acesso sem entregar ao servidor uma palavra-passe reutilizável. O desbloqueio por rosto, impressão digital ou PIN autoriza a utilização dessa credencial.

Na documentação do Google, os dados biométricos permanecem no dispositivo e não são partilhados com a empresa. A Apple descreve o mesmo princípio de autorização local. Não se trata, portanto, de enviar a impressão digital para cada loja ou rede social. A resistência a phishing vem do funcionamento da autenticação, não de uma fotografia do dedo substituir uma palavra-passe.

Sincronizada ou ligada a um dispositivo?

Há chaves de acesso sincronizadas por um gestor de credenciais e outras ligadas a um dispositivo específico. Nas primeiras, o fornecedor pode disponibilizar a credencial noutros equipamentos autorizados. Nas segundas, a chave permanece no equipamento que a guarda, como acontece com chaves de segurança físicas compatíveis.

A Apple explica que o Porta-chaves em iCloud sincroniza chaves de acesso com cifragem ponto a ponto e dispõe de mecanismos de recuperação. Isso dá redundância se um aparelho se perder. Mas a recuperação exige verificações: não basta comprar um iPhone novo e saber o endereço de correio eletrónico da conta. Convém conhecer os requisitos do fornecedor antes de precisar deles.

A pergunta útil nas definições é «que gestor guardou esta chave?». O nome da conta onde se entra e o nome do serviço que guarda a credencial podem ser diferentes. Ter uma passkey para uma loja não significa que a própria loja consiga devolver uma cópia da chave privada quando o telemóvel desaparece.

Uma alternativa não tem de ser outro telemóvel

A FIDO descreve as chaves de segurança físicas como uma possível credencial de recuperação quando se perde acesso aos dispositivos sincronizados. Para desempenhar esse papel, uma chave compatível tem de estar registada na conta. Um dispositivo novo, comprado depois da perda, não abre por si só uma conta que nunca o conheceu.

Não é uma compra obrigatória para todos. Outro equipamento autorizado, uma passkey adicional ou os mecanismos oficiais de recuperação podem ser alternativas, conforme o serviço. O objetivo é conhecer uma via disponível que não dependa exclusivamente do aparelho que pode faltar. No Google, criar uma chave de acesso não remove os fatores de autenticação ou recuperação já existentes.

Antes de alterar esses fatores, confirme o que o serviço permite e se a alternativa funciona. Não apague a única forma de entrada apenas porque o primeiro acesso com passkey correu bem. Em contas de trabalho ou da escola, as regras do administrador podem limitar as opções; a experiência de uma conta pessoal não serve de garantia para todas.

Ao mudar de sistema, confirme antes de apagar o antigo

Passar de Android para iPhone, ou no sentido contrário, não deve ser confundido com uma transferência garantida de todas as credenciais. Segundo a FIDO, um gestor multiplataforma pode disponibilizar as chaves no novo aparelho quando é configurado. Se o gestor não tiver essa capacidade e o dispositivo antigo ainda existir, pode ser possível usá-lo para entrar e criar uma nova passkey.

Essa possibilidade depende do serviço e da configuração. O momento para verificar é antes de apagar, vender ou entregar o equipamento antigo. Veja quais são as contas essenciais, que gestor as suporta e se consegue autenticar-se no novo dispositivo. Não é necessário expor códigos, fotografar credenciais ou partilhar o PIN para fazer essa verificação.

Se o aparelho já desapareceu

Recorra às opções oficiais de entrada e recuperação do fornecedor. No Google, «Tentar de outro jeito» permite voltar às opções anteriores quando não consegue usar uma passkey. A empresa orienta também a remover a chave associada a um dispositivo perdido ou roubado; as chaves criadas automaticamente pelo Android têm um procedimento próprio de terminar a sessão do dispositivo.

A preparação não retira mérito à tecnologia. Chaves de acesso podem tornar a autenticação mais simples e resistente a phishing, sem eliminar todos os riscos de uma conta. O teste mais útil não é contar quantas passkeys criou: é saber onde estão e que caminho continua disponível quando o dispositivo habitual deixa de estar na sua mão.