Mais de um bilhão de pessoas já usam chave de acesso no WhatsApp, segundo a Meta. A chave de acesso (passkey, em inglês) é um jeito de entrar na conta sem digitar senha: o seu aparelho guarda um segredo que o site nunca recebe, e você libera o login com a digital, o rosto ou o PIN da tela.

Abaixo explico como ela funciona, por que um site falso não consegue roubá-la e o passo a passo oficial para ativar no Google, no iPhone, na conta Microsoft e no WhatsApp. No fim, o que fazer se perder o celular, que é a dúvida que mais segura quem pensa em trocar a senha pela chave.

• O que é a chave de acesso, sem jargão

• Por que o site falso não leva nada

• Passo a passo no Google, Apple, Microsoft e WhatsApp

• O que fazer se perder o celular

O que é passkey e como funciona

Passkey, ou chave de acesso, é uma credencial que substitui a senha. Quando você cria uma, o aparelho gera um par de chaves só para aquela conta: a pública vai para o site, a privada fica com você. Para entrar, o site manda um desafio, o aparelho responde com a chave privada e você confirma com biometria ou PIN.

A chave pública pode ficar à vista. A Apple explica, no artigo sobre a segurança das chaves de acesso, que ela fica no servidor e que o servidor nunca descobre a privada. Por isso, se o banco de dados do site vazar, não sai dali nada que sirva para entrar na sua conta. Com senha é o contrário: ela continua valendo até alguém trocar, como mostrou o caso das 543 mil credenciais vazadas no GitHub que ainda funcionavam.

A digital e o rosto não viajam. O Google e a FIDO Alliance, o consórcio que criou o padrão, dizem a mesma coisa: a biometria só destrava a chave dentro do aparelho e não é enviada a servidor nenhum.

Cada empresa traduz de um jeito. Google, Microsoft e WhatsApp falam em chave de acesso; a Apple usa chave de acesso num artigo de suporte e chave-senha no manual do iPhone. É o mesmo padrão por baixo, e por isso uma chave guardada no celular pode servir para entrar num computador de outra marca.

Por que o site falso não leva nada

A chave de acesso resiste a phishing porque fica presa ao endereço onde foi criada. O Google escreve que ela é conectada ao app ou site para o qual nasceu, o que impede o login num site fraudulento por engano. Na página falsa, o navegador não tem chave daquele endereço para oferecer, e não existe senha para você digitar.

O phishing clássico é a página que imita o banco, o e-mail ou um órgão público e pede a senha. O golpe da pendência eleitoral seguiu esse molde: mensagem com link para uma página que imitava o portal da Justiça Eleitoral. Com senha, a página falsa copia o que você digita. Com chave de acesso, ela não tem o que copiar.

Tem também o lado da comodidade. A Microsoft publicou em maio de 2025 que quem usa passkey consegue entrar na conta cerca de três vezes mais: 98% de sucesso, contra 32% com senha. E que o login é oito vezes mais rápido do que senha com autenticação multifator. Na mesma publicação, anunciou que as contas Microsoft novas passariam a nascer sem senha por padrão.

O que a chave não resolve

A chave protege o login, não o seu julgamento. Se alguém convence você a fazer um Pix, como no golpe da voz clonada por IA, não há login nenhum para a chave proteger. E ela não substitui cuidado com o que você instala: o golpe do APK por link mira o celular inteiro, não a senha de um site.

O ponto fraco que sobra é o bloqueio de tela. A própria ajuda do Google avisa: depois de criar a chave, qualquer pessoa que desbloquear o aparelho poderá acessar a sua Conta do Google. Por isso a recomendação oficial é criar chave só em aparelho seu, nunca em aparelho compartilhado.

A chave de acesso vale exatamente o que vale o bloqueio da sua tela: quem desbloqueia o aparelho entra na conta.

Como ativar na Conta do Google

Na Conta do Google, a chave se cria pela página myaccount.google.com/signinoptions/passkeys, em qualquer celular ou computador compatível: Android 9 ou mais novo, iPhone com iOS 16 ou mais novo, ou computador com Windows 10, macOS Ventura ou ChromeOS 109 em diante. Como é uma página da web, o caminho não muda entre Samsung, Motorola e Xiaomi.

1. Ative o bloqueio de tela do celular (PIN, digital ou rosto). Sem ele, a chave não funciona.

2. No iPhone, iPad ou Mac, ligue antes as Chaves do iCloud (o caminho está na seção da Apple, logo abaixo).

3. Abra myaccount.google.com/signinoptions/passkeys e entre na conta, se o Google pedir.

4. Toque em Criar uma chave de acesso e confirme.

5. Desbloqueie o aparelho quando o sistema pedir.

6. Repita em cada aparelho que você usa no dia a dia.

Para entrar num computador com a chave do celular: na página de login do Google, informe o e-mail, clique em Tentar de outro jeito e depois em Usar a chave de acesso. Leia o QR code com a câmera do celular, com o Bluetooth ligado (o Google exige), e confirme com digital, rosto ou PIN.

Um detalhe que tira o medo de muita gente: segundo a ajuda oficial do Google sobre chaves de acesso, adicionar a chave não remove a senha nem as opções de recuperação que você já tem. Se a sua conta usa verificação em duas etapas, a chave dispensa a segunda etapa, porque já confirma que o aparelho é seu.

Se não funcionar no Google

• Espere: a ajuda do Google diz que uma chave recém-criada pode levar até 7 dias para aparecer no login.

• Confira se o bloqueio de tela está ativo no aparelho que guarda a chave.

• Em Segurança e login, veja se a opção Pular a etapa de senha quando possível está ligada.

• Saia do modo anônimo: em alguns navegadores ele não cria nem usa chave.

• Conta do trabalho ou da escola (Google Workspace) pode não aceitar entrar só com a chave. Isso depende do administrador.

Como ativar no iPhone e na Apple

No iPhone, a chave de acesso (que o manual da Apple chama de chave-senha) depende de duas coisas: as Chaves do iCloud ligadas e a autenticação de dois fatores ativa na Conta Apple. Com isso pronto, o iPhone oferece salvar a chave sempre que um site ou app compatível pedir, e ela aparece no app Senhas.

1. Abra o app Ajustes, toque no seu nome e depois em iCloud.

2. Em Salvo no iCloud, toque em Senhas (no iOS 17 ou anterior, Senhas e Chaves).

3. Ligue Sincronizar este iPhone. Pode pedir o código do aparelho ou a senha da Conta Apple.

4. Entre no site ou app que aceita chave, numa conta nova ou nos ajustes da conta que você já tem.

5. Quando aparecer a opção de salvar uma chave-senha, toque em Continuar.

6. Para entrar depois, toque no campo do nome da conta, escolha a conta sugerida e confirme com Face ID, Touch ID ou o código do iPhone.

Os passos acima seguem o manual do iPhone para o iOS 27 e o artigo da Apple sobre as Chaves do iCloud. O app Senhas existe desde o iOS 18; no iOS 17 ou anterior, as chaves ficam em Ajustes, Senhas. Para usar chave de acesso no iPhone, o mínimo é o iOS 16. Se o seu ainda está no iOS 26, mantenha as correções de segurança em dia; expliquei no post sobre o iOS 26.7.1 e a escolha entre o 26 e o 27 como pensar nisso.

Se a opção de salvar não aparece, a Apple diz que o site ou app ainda não aceita chave. E a chave do iPhone também serve num computador que não é seu: na tela de login dele, escolha Outras opções ou Chave-senha de dispositivo por perto e escaneie o QR code com a câmera do iPhone.

Como ativar na conta Microsoft

Na conta Microsoft pessoal, a chave se cria nas Opções de Segurança Avançadas, em account.live.com/proofs/manage. Lá você escolhe onde guardá-la: num gerenciador que sincroniza, no celular, numa chave de segurança física ou no próprio Windows, pelo Windows Hello. Essa escolha decide se ela sobrevive à troca de computador.

1. No aparelho onde a chave vai ficar, entre em account.live.com/proofs/manage com a sua conta.

2. Escolha a opção de adicionar uma nova forma de entrar ou verificar.

3. Selecione rosto, impressão digital, PIN ou chave de segurança.

4. Siga as instruções do aparelho. Continuar ou Criar aceita o local sugerido; Alterar mostra as outras opções.

5. Confirme com rosto, digital ou PIN.

A ajuda da Microsoft vale para o Windows 11, e a versão dela em português usa termos de Portugal, então o nome do botão pode variar um pouco na sua tela. Conta do trabalho ou da escola segue outro caminho, mysignins.microsoft.com/security-info, e só se a empresa permitir.

O alerta que importa: a chave salva no Windows Hello fica só naquele computador. A ajuda do Chrome é direta: se o computador for perdido ou o sistema for reinstalado, essa chave não volta. Prefira guardar num gerenciador que sincroniza (o da Microsoft, o do Google ou as Chaves do iCloud) ou no celular.

E antes de apagar uma chave no painel, cadastre outra forma de entrar. A Microsoft avisa que, se você remover todas as informações de segurança da conta, ela fica 30 dias em estado restrito.

Como ativar no WhatsApp

No WhatsApp, a chave de acesso serve para entrar de novo na conta sem esperar código: você confirma com digital, rosto ou o bloqueio de tela. Segundo a Meta, mais de um bilhão de pessoas já configuraram a chave, e desde o fim de agosto dá para ter mais de uma, se você usa Android e iPhone.

1. Atualize o WhatsApp pela loja do celular.

2. Abra Configurações, toque em Conta e depois em Chaves de acesso.

3. Toque em Criar chave de acesso.

4. Confirme com a digital, o rosto ou o bloqueio de tela, e siga as instruções.

O caminho Configurações, Conta, Chaves de acesso está na nota oficial da Meta de 25 de agosto. O nome do botão é o que a MacMagazine mostrou no lançamento para iPhone, em 2024; se a tela estiver diferente na sua versão, siga o que o app pedir dentro de Chaves de acesso. Se a opção não aparece, atualize o app.

Além da chave, ligue a verificação em duas etapas, que na mesma nota de agosto passou a aceitar senha mais longa, com letras e caracteres especiais, em vez de só o PIN de seis dígitos. Se você cuida da conta de um adolescente, aproveite para configurar o celular dele junto com o controle parental do WhatsApp, que chegou em 30 de setembro para contas de 13 a 17 anos.

Perdi o celular: o que fazer

Perder o celular não costuma custar a conta, desde que a chave esteja num gerenciador que sincroniza. As chaves do Gerenciador de Senhas do Google e das Chaves do iCloud têm cópia na nuvem e voltam no aparelho novo. O primeiro passo, porém, é tirar do aparelho perdido o poder de entrar nas suas contas.

1. De outro aparelho, entre na Conta do Google, vá em Segurança e login, Chaves de acesso e de segurança, e remova a chave do celular perdido. Em google.com/devices, revise os aparelhos conectados e saia da sessão do perdido.

2. Na conta Microsoft, remova a chave em account.live.com/proofs/manage, depois de cadastrar outra forma de entrar.

3. No iPhone novo, entre com a mesma Conta Apple: as chaves voltam pelas Chaves do iCloud.

4. No Android novo, entre com a mesma Conta do Google. Para destravar as chaves, o Google pede o PIN do Gerenciador de Senhas ou o bloqueio de tela do Android antigo.

Onde a chave mora decide o que acontece na perda:

Onde a chave está	Sincroniza?	Como volta
Gerenciador de Senhas do Google	Sim, com a Conta do Google	Login na mesma conta, com o PIN do Gerenciador ou o bloqueio de tela do Android antigo
Chaves do iCloud (app Senhas)	Sim, com a Conta Apple	Login na mesma Conta Apple; sem nenhum aparelho antigo, senha da conta, SMS e código de bloqueio, com até 10 tentativas
Windows Hello	Não, fica no computador	Não volta; crie outra chave
Chave de segurança física	Não, fica no objeto	Só com uma segunda chave já cadastrada

A linha da Apple merece atenção. Ela garante que as Chaves do iCloud são recuperáveis mesmo que você perca todos os aparelhos, mas a recuperação pede a senha da Conta Apple, um SMS no número cadastrado e o código de bloqueio de um aparelho antigo. Depois da décima tentativa errada, a cópia guardada é destruída.

O plano para não ficar trancado do lado de fora

Tenha pelo menos duas formas de entrar em cada conta importante. No Google, mantenha telefone e e-mail de recuperação atualizados; dá também para cadastrar contatos de recuperação, em Segurança e login. Na Apple, configure um contato de recuperação da conta. Uma segunda chave, num segundo aparelho, também conta.

Para as contas que ainda pedem senha, use uma longa e diferente em cada site. O gerador de senha forte do golber.net, uma das ferramentas grátis que eu desenvolvo, cria a senha no seu navegador com o gerador criptográfico do aparelho, com 16 caracteres por padrão, e o código dele não manda a senha para servidor nenhum. Guarde no mesmo gerenciador onde vão ficar as chaves.

Se for ativar uma só hoje, comece pela conta que destrava as outras: o e-mail. É nele que chegam os links de redefinição de senha de quase tudo, e por isso, na minha opinião, é a conta que mais vale proteger.

Perguntas frequentes

Passkey é a mesma coisa que chave de acesso?

Sim. Passkey é o nome em inglês; Google, Microsoft e WhatsApp usam chave de acesso em português. A Apple usa chave de acesso nos artigos de suporte e chave-senha no manual do iPhone. É o mesmo padrão, criado na FIDO Alliance.

Se alguém pegar meu celular, entra nas minhas contas?

Só se conseguir desbloquear o aparelho. A ajuda do Google avisa que, depois de criar a chave, qualquer pessoa que desbloquear o dispositivo poderá acessar a conta. Use PIN longo ou biometria e, se perder o celular, remova a chave dele pela conta, de outro aparelho.

Preciso apagar minha senha depois de criar a chave?

Não. No Google, a chave não remove a senha nem as opções de recuperação. Se preferir que a senha venha primeiro, desligue Pular a etapa de senha quando possível, em Segurança e login.

Minha digital ou meu rosto vão para o Google ou para a Apple?

Não. Google, Apple e a FIDO Alliance afirmam que a biometria fica no aparelho e serve só para destravar a chave. O site recebe a resposta da chave, nunca a sua impressão digital.

Dá para usar a chave num computador que não é meu?

Dá, sem deixar a chave salva nele. Na tela de login, escolha a opção de usar a chave de outro aparelho, leia o QR code com o celular e confirme no celular. A chave continua guardada no seu aparelho.