Adeus palavras-passe: como ativar as chaves de acesso

Mais um código por SMS, mais uma palavra-passe esquecida, mais um clique em “Esqueceu-se da palavra-passe?”. As chaves de acesso (passkeys) acabam com este ciclo: a conta passa a abrir com a impressão digital, o rosto ou o PIN do telemóvel, e a ativação faz-se nas definições de segurança de cada serviço.

O princípio é simples. A chave privada fica guardada no aparelho ou no gestor de palavras-passe e nunca é enviada ao site. O serviço fica apenas com a parte pública, que sozinha não serve para nada. Quem quiser perceber a tecnologia em detalhe pode ler o explicador sobre a diferença entre password e passkey.

Na prática, cada chave fica presa ao endereço verdadeiro do serviço. Um site falso, por mais convincente que seja, não a consegue usar — e é por isso que a Google as apresenta como mais seguras contra phishing do que as palavras-passe.

O que precisa antes de criar uma chave de acesso

O requisito principal é ter o bloqueio de ecrã ativo. Sem PIN, padrão, impressão digital ou reconhecimento facial, a chave não pode ser criada nem usada.

Depois, convém ter o sistema e o navegador atualizados. Segundo a Google, funcionam telemóveis com Android 9 ou iOS 16 e computadores com Windows 10, macOS Ventura ou ChromeOS 109, ou versões mais recentes. Nos aparelhos da Apple é preciso ter o Porta-chaves em iCloud ativo.

Importante: crie estas chaves só em aparelhos que sejam seus. A Google avisa que, depois de criada a chave, qualquer pessoa que consiga desbloquear o dispositivo pode entrar na conta, mesmo que tenha terminado a sessão.

Como ativar chaves de acesso nas contas principais

Não existe um botão único para todos os serviços. Cada conta tem o seu caminho, mas a lógica repete-se: definições de segurança, opção de chave de acesso, confirmação com o desbloqueio do aparelho.

Conta Google (Gmail, YouTube, Drive)

Abra myaccount.google.com/signinoptions/passkeys, toque em “Criar uma chave de acesso” e confirme com o desbloqueio do aparelho. Para usar a chave em vários dispositivos, repita o passo em cada um.

Atenção a dois pormenores. Uma chave acabada de criar pode demorar até 7 dias a ficar disponível no início de sessão. E as contas Google Workspace de trabalho ou escola podem não permitir entrar só com a chave, porque depende do administrador.

Quem já usa a autenticação de dois fatores não perde nada com a mudança. Segundo a Google, a chave de acesso dispensa o segundo passo, porque já confirma que o aparelho é seu.

Conta Microsoft (Outlook, Hotmail, Microsoft 365)

Entre nas opções de segurança avançadas da conta Microsoft (account.live.com/proofs/manage), escolha “Adicionar uma nova forma de iniciar sessão ou verificar” e selecione rosto, impressão digital, PIN ou chave de segurança. A Microsoft explica o processo no guia oficial para criar uma chave de acesso. No início de sessão seguinte, basta escolher essa opção.

Já agora: a Microsoft começou a eliminar progressivamente o SMS como método de autenticação e recuperação nas contas pessoais, ainda sem datas anunciadas. Quem ainda depende dos códigos por mensagem tem aqui uma razão para mudar já.

WhatsApp

No WhatsApp, o caminho é Definições, Conta e Chaves de acesso. A partir daí, a entrada na conta faz-se com a impressão digital, o rosto ou o código de bloqueio do ecrã, sem códigos para introduzir. Segundo o WhatsApp, é possível juntar mais do que uma chave à mesma conta, útil para quem alterna entre Android e iPhone.

Ativar a chave é também uma das melhores defesas para não ter de recuperar uma conta de WhatsApp roubada.

iPhone, iPad e Mac

Nos aparelhos da Apple, as chaves ficam guardadas no Porta-chaves em iCloud e sincronizam entre os dispositivos com a mesma conta. Quando um site ou uma app é compatível, o próprio sistema propõe criar a chave no momento do início de sessão; basta confirmar com Face ID, Touch ID ou código.

Banco e outros serviços

Nos restantes serviços, procure “chave de acesso” ou “passkey” nas definições de segurança. Nem todas as apps e sites suportam a tecnologia, e na banca ela começa agora a aparecer, sobretudo para confirmar transferências e pagamentos na app — uma barreira extra contra as burlas de phishing. Abra hoje as definições de segurança da app do seu banco e confirme se a opção já está disponível.

Como entrar noutro computador com o telemóvel

A chave fica no telemóvel, mas serve para entrar num computador. Na página de início de sessão, escolha a opção para usar outro dispositivo; aparece um código QR no ecrã.

Leia o código com a câmara do telemóvel e confirme com a impressão digital, o rosto ou o PIN. A Google pede que o Bluetooth esteja ativo para este passo funcionar. Num computador que não é seu, termine sempre a sessão no fim e não crie lá nenhuma chave.

Como evitar ficar sem acesso à conta

Este é o receio mais comum, e tem resposta. Segundo a Google, adicionar uma chave não altera nem remove os métodos de recuperação que a conta já tinha, o e-mail alternativo e o número de telemóvel continuam lá.

Por isso, mantenha esses contactos atualizados antes de mais nada. Depois, crie a chave em pelo menos dois aparelhos, por exemplo o telemóvel e o portátil: se perder um, o outro continua a funcionar.

Perdeu o telemóvel ou foi roubado? Entre na conta noutro dispositivo e remova a chave desse aparelho. Na Conta Google, a opção está na secção de segurança, em Chaves de acesso.

Por fim, a questão de quem muda de marca de telemóvel. Durante anos, as chaves ficavam presas ao ecossistema onde foram criadas. Com o iOS 26, a Apple passou a permitir importar e exportar estas chaves para outro gestor de palavras-passe.

Comece pela conta de e-mail

Não precisa de mudar tudo de uma vez. Comece pela conta de e-mail, porque é por ela que se recuperam quase todas as outras, incluindo, muitas vezes, o acesso ao banco.

Depois, siga para o WhatsApp e para as contas onde guarda cartões ou faz pagamentos. Três contas protegidas hoje valem mais do que um plano para as cinquenta que tem. E, enquanto houver serviços sem esta opção, as regras antigas continuam a valer: guarde as suas palavras-passe em segurança e nunca repita a mesma em dois sites.

Receba no seu email as dicas que protegem o seu dinheiro. Subscreva a newsletter do Ekonomista e fique a par das estratégias que fazem a diferença no seu orçamento e na segurança das suas contas. Sem spam, só conteúdo útil.