Chave de segurança, MFA e passkeys: como funcionam

MFA, chaves físicas e passkeys são formas de reforçar a autenticação de contas, mas não são recursos universais nem garantem proteção absoluta. Este guia explica as diferenças em termos gerais; a disponibilidade e as instruções específicas dependem de cada serviço. O CERT.br recomenda usar autenticação em duas etapas quando disponível e proteger os meios e códigos de acesso [1].

O que é MFA e como adiciona uma camada de segurança

A autenticação multifator (MFA) exige duas ou mais formas de verificar a identidade. Assim, além da senha, o acesso depende de outra verificação. A camada extra pode reduzir o risco de invasão quando uma senha é descoberta, mas os métodos não oferecem todos o mesmo nível de resistência. A CISA recomenda que empresas usem MFA e priorizem uma opção resistente a phishing quando disponível [2].

Chave de segurança física e passkey: diferenças

Uma chave física é um dispositivo de autenticação que pode ser conectado ou aproximado do aparelho, conforme a tecnologia e o serviço compatíveis. Passkey é uma credencial criptográfica baseada em padrões FIDO; pode estar em um telefone, computador ou chave de segurança. Algumas passkeys são sincronizadas entre dispositivos e outras ficam vinculadas a um único dispositivo [3]. Portanto, os termos se relacionam, mas não significam sempre a mesma coisa. A compatibilidade e as opções oferecidas variam por serviço e equipamento.

Como ativar a autenticação com segurança

Não existe um procedimento único de ativação. Consulte a documentação oficial do serviço que você usa e confirme ali quais métodos e aparelhos são aceitos. A página atual de dispositivos de um prestador específico, por exemplo, descreve mecanismos próprios; ela não comprova disponibilidade de passkeys em outros serviços [4]. Evite links inesperados para configurar a conta e não aprove pedidos de login que você não iniciou [1].

Como planejar a recuperação de acesso

Antes de habilitar um método, leia as opções de recuperação publicadas pelo próprio serviço. Se ele oferecer códigos de reserva, guarde-os em local seguro e separado do aparelho usado diariamente; nunca os compartilhe. Se perder uma chave ou outro dispositivo cadastrado, avise o serviço pelos canais oficiais e remova o dispositivo perdido da conta quando possível [1]. Não tente contornar a autenticação nem entregue códigos a terceiros.

Perguntas frequentes

Passkey e chave física são a mesma coisa?

Não necessariamente. Uma passkey pode ficar armazenada em um aparelho ou em uma chave de segurança, e algumas podem ser sincronizadas; o suporte depende do serviço [3].

MFA impede toda tentativa de invasão?

Não. MFA acrescenta uma camada de verificação e pode reduzir riscos, mas não torna uma conta invulnerável. Os métodos também diferem quanto à resistência a phishing [2].

O que fazer se eu perder o dispositivo de autenticação?

Siga a recuperação oficial da conta, avise o serviço e remova o dispositivo perdido quando possível. Proteja ou revogue códigos de reserva se houver risco de acesso por terceiros [1].

Para recomendações gerais, consulte o fascículo de Autenticação do CERT.br, a orientação da CISA sobre MFA e a visão geral de passkeys da FIDO Alliance. Para saber quais opções existem em uma conta, consulte exclusivamente a documentação oficial do respectivo serviço.