Passkeys sincronizados vs. vinculados ao dispositivo no Microsoft Entra ID: qual você deve usar?

By Mirko Peters · 2026-10-28

Compare passkeys sincronizados e vinculados ao dispositivo no Microsoft Entra ID. Saiba qual método de autenticação atende melhor os usuários corporativos do dia a dia e os administradores de TI.

Automatically translated with AI from the original post. Read the English original

Ao implementar autenticação moderna, escolher entre passkeys sincronizados e vinculados ao dispositivo no Microsoft Entra ID é a decisão arquitetural mais crítica que os líderes de TI enfrentam. Embora as duas opções eliminem senhas vulneráveis e neutralizem o phishing potencializado por IA, elas lidam de maneiras muito diferentes com a perda de dispositivos, a sincronização na nuvem e a visibilidade administrativa.

Principais conclusões

• Passkeys sincronizados armazenam credenciais em contas de nuvem confiáveis, como iCloud ou Google, permitindo que elas acompanhem você entre dispositivos e sobrevivam à perda de um telefone.
• Passkeys vinculados ao dispositivo ficam estritamente em uma única unidade física, como uma chave de segurança de hardware ou o aplicativo Microsoft Authenticator, e não podem ser sincronizados.
• A Microsoft recomenda passkeys sincronizados para funcionários corporativos em geral, devido à alta praticidade e à menor fricção.
• Administradores de TI e contas com privilégios elevados devem usar chaves de hardware vinculadas ao dispositivo para manter controle absoluto sobre as credenciais.
• O Microsoft Entra ID oferece suporte aos dois tipos de credencial, permitindo que as organizações equilibrem a produtividade dos usuários com políticas de segurança rigorosas.

Entendendo passkeys sincronizados no ambiente corporativo

Passkeys sincronizados representam a combinação mais completa de segurança e praticidade para o ambiente de trabalho moderno. Quando um usuário cria um passkey sincronizado em seu dispositivo móvel ou estação de trabalho, a chave privada é criptografada e armazenada em uma conta de provedor de nuvem confiável, como o Llavero de iCloud da Apple, o Gerenciador de Senhas do Google ou soluções de terceiros como 1Password e Dashlane. Essa arquitetura subjacente permite que a credencial acompanhe o usuário sem interrupções por todo o seu ecossistema.

Se um funcionário compra um novo notebook ou substitui um smartphone danificado, basta entrar novamente na conta do provedor de nuvem para restaurar imediatamente o acesso aos seus passkeys. Segundo dados destacados pela Microsoft, cerca de 99% dos usuários registram com sucesso passkeys sincronizados, com velocidades de login aproximadamente quatorze vezes maiores do que as de senhas tradicionais combinadas com autenticação multifator. Para trabalhadores do conhecimento que usam aplicativos do Microsoft 365, como Teams e Outlook, os passkeys sincronizados eliminam a fricção e, ao mesmo tempo, elevam a segurança geral da organização.

Contudo, essa praticidade traz um ponto de atenção em visibilidade para os administradores de TI. Como os passkeys sincronizados se replicam entre ecossistemas de nuvem, os administradores perdem o controle granular sobre quais dispositivos possuem uma cópia da chave privada. Essa falta de isolamento de hardware torna as opções sincronizadas pouco ideais para funções de TI com privilégios elevados, nas quais a certeza absoluta sobre os limites das credenciais é essencial.

O papel dos passkeys vinculados ao dispositivo para usuários privilegiados

Em contraste marcante com seus equivalentes sincronizados na nuvem, os passkeys vinculados ao dispositivo são permanentemente ancorados a uma única peça física de hardware. A chave privada é gerada diretamente no dispositivo e é fisicamente incapaz de sair dele. Essa categoria inclui chaves de segurança físicas dedicadas, bem como passkeys armazenados localmente no aplicativo Microsoft Authenticator.

Para administradores de TI e contas que guardam as chaves do reino corporativo, as passkeys vinculadas ao dispositivo são o padrão ouro. Se um funcionário perder um celular configurado com uma passkey vinculada ao dispositivo no aplicativo Authenticator, essa credencial específica desaparece junto com o hardware. Não há backup na nuvem para restaurá-la automaticamente, o que elimina por completo o risco de replicação de credenciais baseada na nuvem.

Embora essa abordagem traga desafios de recuperação caso o token físico seja perdido ou danificado, ela oferece a postura de segurança inflexível exigida para a gestão da infraestrutura do Azure e para as funções de administrador global. As organizações podem impor esses parâmetros rigorosos no Microsoft Entra ID usando as configurações de atestação para exigir autenticação com respaldo de hardware.

Gerenciando as compensações no Microsoft Entra ID

Implantar passkeys com sucesso em toda a empresa exige reconhecer as compensações operacionais inerentes a cada formato. A implantação de passkeys não é mais um conceito futurista: com o Microsoft Entra ID tornando as passkeys a experiência de login padrão e eliminando gradualmente os códigos por SMS e por voz legados, as organizações precisam desenhar uma estratégia de duas frentes.

Para a base média de funcionários, implantar passkeys sincronizadas garante altas taxas de adoção, minimiza os chamados de redefinição de senha na central de suporte e melhora drasticamente as taxas de sucesso na autenticação. A experiência do usuário continua rápida, baseando-se em confirmações biométricas familiares, como reconhecimento facial ou impressão digital.

Por outro lado, para usuários privilegiados, exigir chaves de segurança de hardware vinculadas ao dispositivo cria um perímetro rígido contra ameaças cibernéticas sofisticadas. As empresas precisam estabelecer fluxos de recuperação claros para tokens de hardware perdidos, garantindo que os administradores tenham capacidade rápida de revogação no Entra ID sem comprometer a integridade do sistema de identidade.

Conclusão

Escolher entre passkeys sincronizadas e vinculadas ao dispositivo não significa encontrar uma solução única para todos os casos, e sim associar o controle de segurança certo ao perfil de usuário certo. Ao usar passkeys sincronizadas para a produtividade do dia a dia e reservar chaves de hardware vinculadas ao dispositivo para as equipes administrativas, as organizações podem alcançar segurança ideal sem sacrificar a usabilidade. Para explorar os mecanismos técnicos mais amplos por trás dessas credenciais, você pode ouvir o episódio completo do M365 FM Podcast, com uma discussão especializada sobre segurança na nuvem da Microsoft.

Perguntas frequentes

Posso usar passkeys sincronizadas em contas administrativas no Microsoft Entra ID?

Embora tecnicamente seja possível, a Microsoft recomenda enfaticamente chaves de hardware vinculadas ao dispositivo para administradores de TI e funções de alto privilégio, para evitar a replicação não autorizada de credenciais na nuvem.

O que acontece com uma passkey sincronizada se eu perder meu smartphone?

Nada catastrófico. Como as passkeys sincronizadas ficam salvas com segurança na conta do seu provedor de nuvem confiável, fazer login em um novo dispositivo com essa mesma conta restaura suas passkeys instantaneamente.

As passkeys vinculadas ao dispositivo são compatíveis com o aplicativo Microsoft Authenticator?

Sim. As passkeys armazenadas diretamente no aplicativo Microsoft Authenticator são classificadas como vinculadas ao dispositivo, o que significa que permanecem associadas àquele celular específico e não são sincronizadas com chaveiros de nuvem externos.

Os administradores podem impor tipos específicos de passkey no Microsoft Entra ID?

Sim. Os administradores podem usar políticas de atestação no Microsoft Entra ID para restringir os logins exclusivamente a passkeys vinculadas ao dispositivo em ambientes de alta segurança.