Passkeys vs FIDO2: comparação detalhada para autenticação segura e sem senha

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Compare passkeys e chaves de segurança FIDO2 para autenticação sem senha resistente a phishing, com WebAuthn, Microsoft Entra ID, recuperação e implantação em empresas.

Automatically translated with AI from the original post. Read the English original

Passkeys vs FIDO2 exige uma decisão clara e prática, baseada no cenário do usuário, nos requisitos de segurança e no ambiente do Microsoft 365. Comece pelo resultado pretendido, valide a orientação atual da Microsoft, teste com usuários representativos e documente a responsabilidade antes de aplicar a abordagem de forma ampla.

Checklist prático de passkeys vs FIDO2

• Defina o cenário de negócio e o responsável.
• Valide o design com um piloto representativo.
• Revise as implicações de segurança, acesso e suporte.

Consulte a Microsoft Learn para obter a orientação atual sobre os produtos.

Última revisão: julho de 2026.

Proteger contas digitais sem o incômodo, ou o risco, das senhas está se tornando o novo padrão de ouro. Se você está avaliando autenticação moderna para você ou para sua organização, é difícil não ouvir falar em FIDO2 e passkeys. Esses dois termos são usados o tempo todo, mas o que significam de fato e como se comparam na prática, em termos de segurança, usabilidade e necessidades de implantação, especialmente em ambientes muito dependentes da Microsoft?

Este guia detalha o essencial: como funcionam o FIDO2 e as passkeys, o que os diferencia e por que estão mudando a forma como fazemos login em diferentes dispositivos e serviços na nuvem. Você vai encontrar conclusões práticas sobre modelos de ameaça, conformidade, experiência do usuário e os detalhes de configuração de uma autenticação sem senha que realmente funciona. Seja você quem administra o Microsoft 365, quem cuida da TI da própria empresa ou quem só quer contas que criminosos não consigam invadir com facilidade, você está no lugar certo.

O que são FIDO2 e passkeys?

FIDO2 é um padrão aberto para autenticação sem senha, desenvolvido pela FIDO Alliance e pelo World Wide Web Consortium (W3C). Seu objetivo principal é permitir que os usuários façam login com segurança, sem senhas, usando criptografia de chave pública. No centro do FIDO2 estão dois protocolos principais: o WebAuthn (para sites e aplicativos) e o CTAP (para comunicação com autenticadores, como celulares ou chaves de hardware).

Passkeys são uma implementação do padrão FIDO2voltada para a facilidade de uso. Em termos simples, uma "passkey" é basicamente uma credencial FIDO2 gerenciada para você pelo sistema operacional do dispositivo, como o iCloud Keychain da Apple, o Google Password Manager ou o Gerenciador de Credenciais da Microsoft. As passkeys substituem as senhas tradicionais e permitem fazer login desbloqueando o dispositivo ou usando biometria, como Face ID, Touch ID ou Windows Hello.

Aqui está o ponto principal: embora todas as passkeys dependam do FIDO2 nos bastidores, nem toda credencial FIDO2 é divulgada como "passkey". As passkeys normalmente trazem comodidades adicionais, como sincronização entre dispositivos ou recuperação simples, mas os mecanismos criptográficos que usam, chaves públicas e privadas, são os mesmos. Enquanto as senhas tradicionais são segredos que você memoriza, FIDO2 e passkeys mantêm o segredo (a chave privada) protegido no seu dispositivo e só enviam ao servidor uma prova, nunca a chave em si.

Resumindo: a autenticação FIDO2 fornece o conjunto padronizado de ferramentas, enquanto as passkeys colocam esse conjunto no seu bolso, no seu notebook ou na nuvem, prometendo logins sem senha e resistentes a phishing.

Eliminar senhas e alcançar resistência a phishing

O ponto principal do FIDO2 e das passkeys não é apenas tornar o login mais fácil, embora isso seja um bônus. O objetivo é, enfim, aposentar as senhas, que são notoriamente fracas contra phishing, ataques de reutilização e adivinhação por força bruta. Com FIDO2 e passkeys, a autenticação se baseia em criptografia de chave pública: nenhuma senha é transmitida ou armazenada que um atacante possa roubar por phishing.

Você inicia o login desbloqueando o dispositivo, com impressão digital, reconhecimento facial ou PIN do dispositivo. Em seguida, o dispositivo comprova criptograficamente que possui a chave privada, de um modo que só funciona com o servidor correto (chamado de parte confiável, ou relying party) e que nunca envia sua chave pela rede. Mesmo que um hacker engane você com um site falso, a chave não funcionará, porque ela está vinculada à origem do site real.

Essa abordagem torna praticamente obsoletos os ataques de phishing clássicos, como a coleta de credenciais por meio de sites falsos que imitam os originais. Não há senha para ser roubada e reutilizada em outro lugar, e os atacantes não conseguem reproduzir credenciais capturadas, porque cada login usa um desafio novo. O credential stuffing, em que atacantes usam senhas vazadas em vazamentos de dados para fazer logins em massa, também deixa de funcionar com passkeys.

As organizações estão migrando para essa abordagem não apenas por segurança técnica, mas também por motivos de conformidade e de negócio. Ao implantar FIDO2 e passkeys, especialmente junto com ferramentas como o Microsoft Defender para Office 365 e o Microsoft Purview para governança de dados, as empresas conseguem bloquear uma classe inteira de ataques baseados em credenciais sem sobrecarregar os usuários.

Como a autenticação FIDO2 funciona por dentro

Para entender por que o FIDO2 é muito mais seguro do que os logins tradicionais, vale espiar por dentro da caixa-preta. Em sua essência, o FIDO2 usa criptografia de chave pública para provar sua identidade a um serviço, sem nunca expor os segredos que de fato desbloqueiam suas contas.

Quando você configura um login FIDO2 (ou registra uma passkey), seu dispositivo gera um par de chaves exclusivo: uma pública e uma privada. A chave pública é enviada ao serviço no qual você quer entrar, enquanto a chave privada nunca sai do seu dispositivo. Em cada login, o servidor desafia o dispositivo a provar que possui a chave privada, normalmente assinando um valor aleatório, e verifica o resultado com a chave pública armazenada.

Tudo isso depende de armazenamento e verificação do usuário rigorosamente controlados. Ou seja, sua chave privada fica guardada em um enclave seguro, acessível apenas quando você desbloqueia o dispositivo ou fornece dados biométricos. Esse é um dos grandes motivos pelos quais a adoção de FIDO2 e passkeys está crescendo rapidamente em sistemas capazes de impor segurança baseada em hardware, como o Microsoft Windows, o Apple macOS/iOS e o Android.

Vamos detalhar, nas próximas seções, como funcionam os fluxos de registro e autenticação, além de como suas credenciais são protegidas e vinculadas ao seu dispositivo.

Fluxo de registro e autenticação FIDO2 explicado

1. Registro: Quando você se cadastra pela primeira vez em um serviço usando FIDO2, seu dispositivo cria um novo par de chaves criptográficas. A chave pública é enviada ao serviço (a parte confiável, ou relying party), enquanto a chave privada permanece no seu dispositivo.
2. Atestação: O dispositivo pode comprovar ao serviço que é um autenticador legítimo, fornecendo um certificado de atestação que garante que a credencial foi gerada em hardware seguro.
3. Autenticação: No login, o serviço envia um desafio único. Seu dispositivo assina esse desafio com a chave privada, após a verificação do usuário por PIN, impressão digital etc.
4. Validação no servidor: O desafio assinado é devolvido ao servidor, onde é verificado com a chave pública armazenada. Se tudo estiver correto, você entra; nenhum segredo é trocado e nada pode ser alvo de phishing.

Armazenamento seguro e vínculo ao dispositivo para passkeys

• Segurança baseada em hardware: Passkeys e credenciais FIDO2 costumam ser armazenadas em hardware seguro dedicado, como o Trusted Platform Module (TPM), o Secure Enclave (Apple) ou o chip Titan M (Google). Isso isola suas chaves do restante do dispositivo, tornando os ataques muito mais difíceis.
• Autenticação biométrica ou por PIN: Para usar sua passkey, você precisa desbloqueá-la, normalmente por meio de um método biométrico ou do PIN do dispositivo. Os dados biométricos nunca saem do hardware nem são enviados ao serviço online, o que mantém privados os seus identificadores pessoais.
• Vínculo com o dispositivo: O par de chaves criptográficas fica associado ao seu dispositivo físico, e não apenas à sua conta online. Isso significa que um possível atacante precisaria comprometer o seu dispositivo e contornar as proteções locais para conseguir entrar.
• Proteções na exportação e sincronização de credenciais: Em plataformas que sincronizam passkeys entre dispositivos (como o iCloud Keychain ou o Gerenciador de Senhas do Google), as credenciais são criptografadas de ponta a ponta. Somente os seus dispositivos, com a autenticação adequada, podem ler ou usar as passkeys.
• Segurança do ciclo de vida: Os dispositivos podem apagar as credenciais com segurança quando você os redefine ou desativa. As organizações podem impor acesso condicional e governança por meio de soluções como as políticas do Microsoft Entra ID e de Acesso Condicional para controlar o uso das credenciais e remediar comprometimentos.

Comparando passkeys sincronizadas e soluções vinculadas ao software

Nem todas as passkeys são iguais. Depois de configurar a autenticação sem senha, você logo vai notar diferenças na forma como suas credenciais são gerenciadas, principalmente se elas são sincronizadas entre seus dispositivos pela nuvem ou ficam restritas a um único dispositivo. Essas escolhas de arquitetura têm consequências reais para a usabilidade e para o risco.

As passkeys sincronizadas, como as do iCloud Keychain em dispositivos Apple ou do Gerenciador de Senhas do Google no Android, permitem acessar seus logins em celulares, tablets e computadores, muitas vezes com muita conveniência. Mas isso traz seus próprios compromissos de segurança e confiabilidade, especialmente em relação à possível exposição caso o provedor de nuvem seja violado ou o vínculo de sincronização seja interrompido.

Por outro lado, as passkeys vinculadas ao software ficam inteiramente em um único dispositivo. Se você quiser migrar para um novo aparelho, precisará transferir ou registrar novamente manualmente. Às vezes isso é um pequeno incômodo; em outras, é um impedimento para organizações que gerenciam milhares de usuários e atualizações de dispositivos sem intervenção manual.

A seguir, vamos detalhar por que esses modelos importam, quais riscos cada abordagem traz e como escolher a opção certa para o seu ambiente, seja para proteger logins pessoais ou para implantar a autenticação sem senha em toda uma empresa.

Passkeys sincronizadas entre dispositivos: benefícios e riscos

• Conveniência em vários dispositivos: As passkeys sincronizadas (como as do iCloud ou do Gerenciador de Senhas do Google) permitem entrar de qualquer dispositivo dentro do seu ecossistema de forma instantânea, criando uma experiência contínua entre celulares, tablets e notebooks.
• Recuperação automatizada: Perdeu um dispositivo? Suas passkeys continuam seguras e podem ser recuperadas a partir de outro dispositivo confiável, o que reduz cenários de bloqueio de conta e chamados de suporte.
• Riscos da dependência da nuvem: Como as credenciais trafegam pela nuvem, mesmo criptografadas, há um risco ampliado se o provedor de sincronização sofrer uma violação ou apresentar interrupções, o que torna sua postura de segurança dependente de um terceiro.
• Ecossistemas fechados das plataformas: A sincronização normalmente funciona melhor dentro do mesmo ecossistema, como dispositivos só da Apple ou só do Google, e gera atrito quando os usuários alternam entre iOS, Android, Windows ou macOS.

Passkeys vinculadas ao software e os compromissos da sincronização entre dispositivos

• Segurança somente local: Essas passkeys ficam fortemente vinculadas a um único dispositivo, o que significa que nenhuma nuvem de terceiros pode expô-las em caso de invasão. Isso é ideal para ambientes que exigem isolamento mais rigoroso.
• Portabilidade limitada: Se você trocar de dispositivo, precisará exportar, migrar ou redefinir as passkeys manualmente. Isso adiciona trabalho, mas pode reduzir a superfície de ataque.
• Recuperação desafiadora: Se o dispositivo for perdido ou apresentar falha, suas passkeys locais também se perdem. Planejar um backup seguro ou protocolos claros de recuperação é essencial para evitar bloqueios permanentes.
• Adequação ao caso de uso: Organizações com necessidades de alta garantia ou reguladas (como os setores financeiro ou governamental) costumam preferir esse método para contas privilegiadas e sistemas sensíveis, apesar do esforço operacional adicional.

Chaves de segurança de hardware e autenticadores externos explicados

As chaves de segurança de hardware são dispositivos físicos dedicados, usados para autenticação sem senha com FIDO2 e sistemas de passkeys. Elas vêm em diversos formatos, geralmente como dongles USB, NFC ou Bluetooth, que você leva no chaveiro ou mantém junto à sua estação de trabalho. Modelos populares incluem YubiKey, SoloKey e Feitian.

O que diferencia as chaves de segurança de hardware é o design resistente a adulteração. Os segredos criptográficos (chaves privadas) são gerados dentro do dispositivo e nunca saem dele, mesmo que o computador ou celular conectado seja comprometido. Isso as torna extremamente resistentes a ataques de phishing e malware, e é por isso que são preferidas para contas de administrador, root ou de alto valor.

Diferentemente das passkeys vinculadas a plataformas, as chaves de hardware dependem de padrões do setor, como o Client to Authenticator Protocol (CTAP), para interagir com dispositivos e com APIs do navegador (como o WebAuthn). Isso significa que elas geralmente podem ser usadas em muitos sistemas, sem vínculo com as plataformas da Apple, do Google ou da Microsoft, desde que a aplicação de destino ofereça suporte a FIDO2.

Alguns ambientes, especialmente setores regulados ou de alto risco, exigem o uso dessas chaves por conformidade ou para atender ao nível de segurança AAL3 (o nível de garantia mais alto definido pelo NIST SP 800-63B). Embora não sejam tão práticas quanto as passkeys sincronizadas entre todos os seus dispositivos, elas oferecem segurança de primeiríssima linha para funções em que comprometer a credencial simplesmente não é uma opção.

Ciclo de vida das credenciais e segurança em cada etapa

Adotar FIDO2 e passkeys não se resume a telas de login melhores: trata-se de reforçar a segurança em todo o ciclo de vida da credencial. Cada etapa, desde a criação de uma passkey até o momento em que ela é usada, armazenada ou revogada, apresenta desafios e superfícies de ataque diferentes.

Entender esse ciclo de vida ajuda as organizações a identificar onde concentrar os controles de segurança e a governança. Por exemplo, a criação da credencial exige attestation e vínculo forte, enquanto o uso ativo precisa ser monitorado em busca de tentativas de phishing ou de comprometimento do dispositivo. O armazenamento e o backup, sempre um ponto fraco com senhas, podem se tornar um ponto forte com credenciais vinculadas ao dispositivo e criptografia robusta na nuvem.

A gestão do ciclo de vida também abrange o lado menos glamouroso, mas essencial: rotação, revogação e recuperação de contas. Manter o controle sobre quem possui quais chaves, garantir a limpeza organizada quando um colaborador deixa a empresa e saber responder à perda ou ao comprometimento de dispositivos sem prejudicar a produtividade fazem parte de um bom plano de ação para um modelo sem senhas.

Em ambientes Microsoft, a adoção de boas práticas de ciclo de vida das credenciais está diretamente ligada à governança de dados e às estratégias de acesso, como mostram materiais como Microsoft 365 Data Access Governance, em que propriedade, responsabilização e processos de revisão são fundamentais para a colaboração segura.

Criação de credenciais, ataques e gerenciamento de estado

• Criação segura: gere sempre as credenciais FIDO2 em armazenamentos de chaves apoiados por hardware, com attestation forte para garantir a origem autêntica do dispositivo.
• Resistência a phishing: os fluxos de autenticação com passkeys e FIDO2 são naturalmente resistentes a phishing, já que segredos não são transmitidos e os desafios de assinatura são únicos em cada sessão.
• Ataques de replay e MITM: desafios criptográficos únicos e de uso único impedem que invasores reutilizem respostas interceptadas ou executem ataques man-in-the-middle.
• Gerenciamento de estado: revise regularmente o status das credenciais, revogue chaves não utilizadas ou comprometidas e mantenha um inventário atualizado, especialmente para contas privilegiadas ou de alto acesso.

Recuperação, revogação e limitações das credenciais

Nenhum sistema é perfeito: até as passkeys e chaves de segurança mais robustas podem ser perdidas, roubadas ou danificadas. Planejar a recuperação e a revogação de credenciais é essencial, especialmente se você estiver levando sua equipe ou organização a um modelo de autenticação sem senhas em grande escala.

Quando uma passkey ou credencial FIDO2 é perdida, as opções de recuperação dependem de como ela é gerenciada. No caso de passkeys sincronizadas (como o iCloud Keychain da Apple ou o Gerenciador de Senhas do Google), normalmente é possível restaurar as credenciais em um novo dispositivo depois de concluir a autenticação no nível do dispositivo e as etapas de recuperação. Isso minimiza a indisponibilidade, mas exige confiança nos mecanismos de segurança e recuperação do provedor de nuvem.

As chaves de segurança acrescentam uma camada extra de complexidade: perder uma chave de hardware significa que você precisa ter chaves de backup cadastradas ou procedimentos administrativos de substituição já estabelecidos. Caso contrário, você pode ficar totalmente bloqueado. A revogação é feita pelo servidor: quando você informa que uma chave foi perdida, a chave pública é removida do seu perfil, tornando a credencial perdida inútil.

Por outro lado, depender excessivamente dos recursos de backup e recuperação pode enfraquecer a segurança: os processos de recuperação precisam ser reforçados contra engenharia social e ameaças internas. Revisões frequentes e automação com ferramentas como o Microsoft Purview Audit podem ajudar as organizações a monitorar o uso das credenciais, os eventos de revogação e possíveis riscos para as necessidades de conformidade e investigação forense.

Em última análise, escolher uma estratégia de recuperação e revogação significa equilibrar a conveniência do usuário com controles robustos — não existe solução única para todos os casos. Mapear cenários de perda de dispositivos e implantar soluções de recuperação de conta em níveis é essencial para qualquer implantação séria de autenticação sem senha.

Passkeys ou chaves de segurança: como escolher a opção certa

Na hora de decidir, a escolha entre passkeys e chaves de segurança de hardware depende do seu caso de uso, das necessidades de conveniência dos usuários e do ambiente de ameaças. As duas opções têm uma base comum — protocolos FIDO2 e criptografia de chave pública —, mas se comportam de forma bem diferente no dia a dia.

As passkeys se destacam em ambientes nos quais os usuários precisam de acesso contínuo em vários dispositivos. Pense em usuários finais com celulares, tablets, notebooks e aplicativos em nuvem como o Microsoft 365. O ponto forte delas é a usabilidade: desbloqueou o dispositivo, você está conectado, mesmo em um conjunto de equipamentos pessoais ou corporativos.

As chaves de segurança, por outro lado, oferecem a maior segurança, fundamental para administradores, usuários privilegiados ou qualquer pessoa que não pode, de forma alguma, correr o risco de comprometimento. A portabilidade delas as torna ideais para cenários em que você precisa se autenticar a partir de sistemas não gerenciados ou públicos. A desvantagem: se você esquecer de levá-la, perdê-la ou quebrá-la, restaurar o acesso pode ser mais trabalhoso.

Em contextos regulados e de alto risco, incorporar chaves de segurança a uma abordagem Zero Trust (como as detalhadas em Zero Trust for Microsoft 365) garante verificação contínua, acompanhando modelos de ameaça que mudam rapidamente, ao mesmo tempo em que minimiza o atrito para o usuário.

Aplicações para empresas e setores regulados: 1Kosmos 1Key e outras opções

1. 1Kosmos 1Key para alta garantia: Esta solução oferece autenticação sem senha compatível com FIDO2, projetada para atender aos rigorosos requisitos AAL3 do NIST SP 800-63B. Ela combina comprovação biométrica, confiança no dispositivo e fatores de autenticação dinâmicos para usuários privilegiados e contas de alto risco.
2. Integração empresarial aprimorada: O 1Key se integra facilmente às plataformas de negócios da Microsoft, automatizando o provisionamento de identidades, o gerenciamento do ciclo de vida de acesso e a revogação para implantações em nuvem escaláveis.
3. Conformidade regulatória: A plataforma oferece mapeamentos de conformidade prontos para uso em setores regulados — financeiro, saúde e governo —, permitindo verificação de identidade, registro de logs robusto e trilhas de auditoria que atendem às rigorosas obrigações de relatórios.
4. Acesso seguro para cidadãos e funcionários: Organizações que implantam aplicativos em nuvem ou portais voltados ao cidadão obtêm acesso sem senha, mantendo a comprovação de identidade e a governança, e reduzindo a dor de cabeça operacional causada por credenciais perdidas ou redefinições de senha.
5. Sinergia com Power Platform e governança: Integrar soluções como o 1Key a estruturas de governança mais amplas (como discutido em Power Platform governance best practices) ajuda a alinhar a segurança baseada em identidade com as políticas corporativas de dados, conectores e ambientes.

Melhorando a experiência do usuário e a autenticação em vários dispositivos

Se há algo em que usuários e administradores concordam, é que senhas são um tormento. As passkeys buscam resolver isso ao tornar o login simples, intuitivo e menos estressante, especialmente em vários dispositivos e plataformas em nuvem. Com passkeys, não há necessidade de lembrar frases complexas nem de redefinir senhas depois de cada campanha trimestral de “conscientização sobre segurança”.

Um grande ganho das passkeys é a autenticação em vários dispositivos. Uma vez armazenadas no chaveiro da sua conta (seja da Apple, do Google ou da Microsoft), você obtém logins quase instantâneos em dispositivos do mesmo ecossistema. Aprovar logins apenas com reconhecimento facial ou impressão digital não só acelera o processo, como também reduz drasticamente o atrito para usuários que alternam entre dispositivos ou locais.

Do ponto de vista da adoção, reduzir o atrito é tudo. Muitas equipes de TI temem a reação negativa causada por políticas de senha obrigatórias ou pelo aumento de chamados na central de suporte por contas bloqueadas. As passkeys minimizam isso: os usuários não lidam com senhas, cansaço de login ou ciclos de redefinição. As barreiras de adoção tendem a estar mais ligadas à compatibilidade entre ecossistemas ou à configuração inicial dos dispositivos, e ambas estão melhorando rapidamente.

Organizações inteligentes priorizam estratégias de implantação iniciando um piloto de chaves de acesso (passkeys) com pequenas equipes, coletando feedback e automatizando o registro de dispositivos. Isso mantém o processo estável e fácil de usar, sem abrir mão da segurança.

Perguntas frequentes, chaves de segurança vs. passkeys e segurança no acesso remoto

• Passkeys e chaves de segurança são a mesma coisa? Não exatamente. Passkeys são credenciais digitais FIDO2 gerenciadas pelo seu dispositivo ou pela nuvem; chaves de segurança são dispositivos físicos que você conecta ou toca para se autenticar. Ambas usam a mesma base criptográfica.
• Posso usar passkeys em dispositivos Apple, Google e Windows? Mais ou menos. Passkeys sincronizadas funcionam melhor dentro de um mesmo ecossistema; o suporte realmente multiplataforma existe, mas pode ser irregular, e a compatibilidade dos navegadores com os recursos FIDO2 varia.
• Alguém pode roubar minha passkey remotamente? A menos que seu dispositivo (e a conta de nuvem onde ele é copiado como backup) esteja comprometido, o roubo remoto de passkeys é muito improvável. As chaves em si nunca saem do seu dispositivo sem criptografia.
• Passkeys são seguras para trabalho remoto e acesso à nuvem? Sim, desde que combinadas com políticas de dispositivo e ferramentas como Microsoft Defender e Purview. Assim, as passkeys oferecem uma autenticação remota robusta, reduzindo significativamente o risco de phishing, malware e roubo de identidade.
• Gerenciadores de senhas podem armazenar passkeys? Versões mais recentes de gerenciadores como 1Password, iCloud Keychain e Google Password Manager já oferecem suporte a passkeys. Mesmo assim, verifique sempre a compatibilidade e o suporte a FIDO2/WebAuthn ao integrar com seu fluxo de identidade.

Conclusão, comparação de segurança e recomendações finais

1. Principal conclusão sobre segurança: Tanto passkeys quanto credenciais FIDO2 eliminam as senhas e suas fragilidades. As passkeys levam vantagem em usabilidade para a maioria dos usuários, enquanto as chaves de segurança de hardware continuam predominando em cenários de alta garantia.
2. Usabilidade vs. portabilidade: Passkeys sincronizadas oferecem logins sem atrito em vários dispositivos, o que as torna ótimas para o usuário comum ou para uma frota corporativa. Chaves de hardware oferecem portabilidade, mas exigem que você mantenha um token físico à mão.
3. Estratégia de implantação: Em ambientes regulados, implemente segurança em camadas: combine passkeys para usuários gerais, chaves de segurança para administradores e soluções corporativas como 1Kosmos 1Key para fluxos de trabalho em conformidade com AAL3.
4. Ciclo de vida e recuperação: Planeje os fluxos de recuperação e revogação antes da migração. Backups e auditorias (veja Governança para IA e controle de acesso) são essenciais para evitar indisponibilidade ou desvios de conformidade.
5. Preparação para o futuro: Acompanhe a evolução dos padrões de interoperabilidade e conformidade, especialmente em ambientes do Microsoft 365 e do Azure, para se manter à frente dos novos desafios de identidade e ameaças.

Próximos passos e mais aprendizado sobre segurança de identidade

• Documentação da Microsoft: Explore a documentação oficial sobre FIDO2, passkeys e implantação sem senha no Microsoft 365 e no Azure.
• Podcasts sobre segurança de identidade: Ouça discussões práticas sobre auditoria e governança em M365.fm: Auditing User Activity with Microsoft Purview.
• Guias técnicos: Leia blogs técnicos sobre como configurar e solucionar problemas de autenticação FIDO2 e passkey em escala corporativa.
• Boas práticas de conformidade: Estude a NIST SP 800-63B e veja como as principais soluções sem senha se alinham aos níveis de garantia (IAL, AAL).
• Fóruns da comunidade: Participe de fóruns de segurança, Microsoft 365 e gestão de identidades para fazer perguntas e compartilhar dicas práticas de implementação com outros profissionais.

🎧 Você também deve ouvir

• Identity Governance in Microsoft Entra

  Conheça controles práticos de propriedade e acesso para o Microsoft 365.

• Modelo operacional de governança do Microsoft 365

  Veja as decisões que tornam a adoção de tecnologia sustentável.

• AI Agents – Simply Explained

  Entenda o contexto de governança para o trabalho assistido por IA.

Passkeys vs FIDO2: orientações práticas para empresas

Passkeys e chaves de segurança FIDO2 oferecem autenticação resistente a phishing, mas fazem trade-offs diferentes em relação à portabilidade, recuperação, controle do dispositivo e experiência do usuário. Uma implantação bem-sucedida define o modelo de credenciais, o processo de registro, o processo de recuperação, os requisitos para usuários privilegiados e as exceções para aplicações legadas.

Lista de verificação de implementação

1. Faça o inventário dos provedores de identidade, navegadores, dispositivos e aplicações compatíveis.
2. Escolha credenciais sincronizadas ou vinculadas ao dispositivo para cada perfil de risco.
3. Registre vários autenticadores antes de aplicar a obrigatoriedade.
4. Proteja a recuperação de contas e a verificação na central de suporte.
5. Faça um piloto com usuários privilegiados e meça as falhas antes de expandir a implantação.

Erros comuns

• Exigir login sem senha sem um caminho de recuperação.
• Presumir que todos os navegadores e aplicações legadas oferecem suporte à mesma credencial.
• Permitir autenticadores compartilhados, o que enfraquece a responsabilização.
• Ignorar o ciclo de vida dos dispositivos e os procedimentos para autenticadores perdidos.

Perguntas frequentes

O que é uma passkey?

Uma passkey é uma credencial FIDO que usa criptografia de chave pública e é desbloqueada por um gesto no dispositivo, por biometria ou por um PIN local.

O que é FIDO2?

FIDO2 é o padrão de autenticação construído em torno do WebAuthn e do Client to Authenticator Protocol, que possibilita logins resistentes a phishing.

Passkeys e FIDO2 são a mesma coisa?

Passkeys são uma experiência de credencial amigável ao usuário, construída sobre padrões FIDO. FIDO2 descreve o ecossistema técnico mais amplo e os protocolos de autenticação.

Passkeys são mais seguras do que senhas?

Sim. As passkeys usam criptografia de chave pública vinculada à origem, então um site não recebe um segredo reutilizável que atacantes possam roubar ou reproduzir.

Passkeys são resistentes a phishing?

Sim, desde que implementadas corretamente. A credencial é vinculada à origem do site legítimo e não revela uma senha a uma página de phishing.

Uma YubiKey é uma passkey FIDO2?

Uma YubiKey pode armazenar credenciais FIDO2 e atuar como chave de segurança. Se ela é chamada de passkey depende da credencial e da terminologia do produto.

Passkeys são mais seguras do que uma YubiKey?

Nenhuma das duas é universalmente mais segura. Passkeys sincronizadas melhoram a recuperação e a usabilidade, enquanto chaves vinculadas ao hardware oferecem forte controle do dispositivo e separação.

O que é uma passkey sincronizada?

Uma passkey sincronizada é copiada por meio de um gerenciador de credenciais aprovado ou de um ecossistema de plataforma, para ficar disponível em vários dispositivos.

O que é uma passkey vinculada ao dispositivo?

Uma passkey vinculada ao dispositivo permanece em um único autenticador ou dispositivo e não é sincronizada com outra plataforma.

O FIDO2 substitui totalmente as senhas?

Ele pode substituir senhas em aplicações compatíveis, mas as organizações ainda precisam de estratégias para recuperação, autenticação legada e ciclo de vida das contas.

O Microsoft Entra ID oferece suporte a passkeys?

O Microsoft Entra ID oferece suporte a chaves de segurança FIDO2 e a opções de autenticação relacionadas a passkeys, sujeitas à configuração do locatário e às capacidades atuais do serviço.

Como o WebAuthn se relaciona com as passkeys?

WebAuthn é a API do navegador e da plataforma que permite que sites e provedores de identidade criem e usem credenciais de chave pública.

O que acontece se o usuário perder o dispositivo com a passkey?

O usuário precisa de outro autenticador registrado ou de um método de recuperação aprovado. As empresas devem registrar vários autenticadores antes de exigir acesso sem senha.

Passkeys podem ser usadas em vários dispositivos?

Passkeys sincronizadas podem ficar disponíveis em dispositivos compatíveis, enquanto credenciais vinculadas ao dispositivo precisam ser registradas em cada autenticador.

Passkeys podem ser compartilhadas entre usuários?

Não. As credenciais devem representar uma pessoa ou uma identidade de carga de trabalho aprovada. Autenticadores compartilhados enfraquecem a responsabilização.

Passkeys protegem contra a reprodução de credenciais?

Sim. A chave privada permanece no autenticador e cada autenticação inclui um desafio que impede a reprodução simples.

Uma passkey pode ser roubada?

Um atacante pode roubar o dispositivo, mas a credencial normalmente é protegida por um fator de desbloqueio local e não expõe uma senha reutilizável.

O que é autenticação sem senha?

A autenticação sem senha verifica o usuário com um autenticador criptográfico, biometria, um PIN ou uma chave de segurança, em vez de uma senha memorizada.

Quais são as desvantagens das passkeys?

Os desafios incluem recuperação, interoperabilidade entre plataformas, cenários de dispositivos compartilhados, aplicações legadas e o entendimento dos usuários durante a implantação.

Como as empresas devem tratar a recuperação de passkeys?

Exija vários autenticadores, defina a verificação na central de suporte, proteja os métodos de recuperação e monitore os eventos de registro e redefinição.

Passkeys funcionam em dispositivos móveis?

Sim. Os sistemas operacionais móveis compatíveis podem criar ou usar passkeys por meio de autenticadores de plataforma ou chaves de segurança externas.

As passkeys funcionam em diferentes navegadores?

O suporte depende do navegador, do sistema operacional, do provedor de identidade e do tipo de credencial. Teste os fluxos de uso dos usuários de destino antes da implantação.

As passkeys são adequadas para administradores?

Sim. Elas são especialmente valiosas para usuários com privilégios, que devem usar autenticação resistente a phishing e contas administrativas separadas.

Como as passkeys afetam o acesso condicional?

Elas podem atender aos requisitos de autenticação forte quando o provedor de identidade reconhece o autenticador e as condições da política são atendidas.

Como as passkeys devem ser implantadas?

Comece com usuários privilegiados e de alto risco, estabeleça a recuperação, faça um piloto com dispositivos representativos e depois expanda acompanhando métricas de registro e de suporte.

O que deve ser monitorado após a implantação?

Monitore o registro, as falhas de autenticação, os eventos de recuperação, as ignorações de política, o volume de chamados do help desk e o risco de entrada.

As passkeys eliminam a MFA?

Uma passkey pode oferecer uma experiência de autenticação multifator resistente a phishing quando combina a posse do autenticador com um fator de desbloqueio local.

As passkeys podem proteger contas de serviço?

Passkeys de usuários humanos não substituem a identidade de cargas de trabalho. Use identidades gerenciadas, certificados ou outras credenciais não humanas apropriadas para serviços.

Qual é o principal benefício para empresas?

O principal benefício é reduzir os riscos de phishing e de redefinição de senha, ao mesmo tempo em que melhora a segurança do login e a experiência do usuário.

Qual é o primeiro passo da implementação?

Faça um inventário de aplicativos e usuários, confirme o suporte do provedor de identidade, defina a recuperação e faça um piloto com um grupo pequeno antes de exigir o login sem senha.

Explore os recursos relacionados do M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist e Microsoft Copilot security model.