Chave de acesso (passkey): como ativar e se proteger de golpes
Chave de acesso (passkey) troca a senha por digital, rosto ou PIN do aparelho. Veja como criar a sua na conta Google, o que fazer se perder o celular e as dicas do CERT.br.
Em 3 pontos
- 01Chave de acesso (passkey) é uma alternativa à senha: você entra com digital, rosto ou PIN do aparelho, e a chave não pode ser copiada nem digitada num site falso.
- 02Na conta Google, a criação leva três passos em myaccount.google.com/signinoptions/passkeys, e a chave nova pode levar até 7 dias para ficar disponível no login, segundo o Google.
- 03Mesmo com passkey, vale ligar a verificação em duas etapas, guardar códigos de backup e seguir as dicas do CERT.br: senha longa, sem repetir, e desconfiar de mensagens com urgência.
Neste artigo
Chave de acesso, também chamada de passkey, é uma forma de entrar na conta sem digitar senha: você confirma com a digital, o rosto ou o PIN de desbloqueio do celular ou do computador. Como ela não pode ser copiada, anotada nem entregue em uma página falsa, é mais difícil de ser roubada por golpe de phishing do que uma senha comum.
Isso importa agora porque a inteligência artificial deixa mensagens de golpe mais bem escritas, sem os erros de português que antes denunciavam a fraude. Quando o texto convincente chega, a defesa que sobra é técnica: uma conta que não depende de uma senha que você possa ser enganado a digitar. Este guia explica, com base nas páginas oficiais do Google e do CERT.br conferidas em 21/10/2026, como ligar a chave de acesso e o que somar a ela.
O que é uma chave de acesso e por que ela protege?
Segundo a página de ajuda do Google sobre passkeys, a chave de acesso é uma alternativa à senha que usa a digital, o rosto ou o PIN do aparelho. O Google explica que ela não pode ser compartilhada, copiada nem anotada, e por isso é mais difícil de ser roubada por quem faz phishing, aquele golpe em que uma página falsa imita a de um serviço para capturar a senha. Os dados biométricos ficam no aparelho e não são compartilhados com o Google.
A diferença para a senha é simples. Uma senha é um segredo que você sabe e pode ser induzido a digitar. A chave de acesso fica guardada no aparelho e só funciona no site verdadeiro, então não há o que entregar a um site falso. Isso não elimina todos os riscos (um aparelho desbloqueado nas mãos de outra pessoa continua sendo um problema), mas tira do golpista a ferramenta mais comum.
O que você precisa para usar
O Google lista os requisitos: Windows 10 ou superior, macOS Ventura ou superior, ChromeOS 109 ou superior, Android 9 ou superior, iOS 16 ou superior, ou uma chave de segurança física com padrão FIDO2. Os navegadores aceitos são Chrome 109 ou superior, Safari 16 ou superior, Edge 109 ou superior e Firefox 122 ou superior.
| Item | O que conferir |
|---|---|
| Bloqueio de tela | Ligado no celular (digital, rosto ou PIN) |
| Bluetooth | Ligado, se for entrar em outro computador usando o celular |
| iPhone, iPad e Mac | Chaveiro do iCloud ativado |
| Aparelho | Seu, nunca um aparelho compartilhado |
| Conta de trabalho ou escola | Pode não permitir, depende do administrador |
O Google avisa que não se deve criar passkey em um aparelho compartilhado. Em um computador de lan house ou de escritório de uso comum, prefira outra forma de acesso e saia da conta ao terminar.
Como criar a chave de acesso na conta Google
Os passos oficiais são curtos. Faça no aparelho que você usa todo dia e que tem bloqueio de tela.
- Abra myaccount.google.com/signinoptions/passkeys.
- Toque em "Criar uma chave de acesso" e confirme de novo na tela seguinte.
- Desbloqueie o aparelho quando ele pedir.
Quem prefere uma chave de segurança física escolhe "Usar outro dispositivo" no segundo passo, conecta a chave e informa o PIN dela. O Google diz que é preciso repetir o processo em cada aparelho em que você queira usar a chave, e que uma chave recém-criada pode levar até 7 dias para ficar disponível na hora do login. Por isso, não apague a senha nem o método de recuperação no mesmo dia.
Crie a chave em dois aparelhos, por exemplo o celular e o notebook. Se um deles for perdido, você ainda entra pelo outro sem depender de recuperação de conta.
Como entrar usando a chave
No mesmo aparelho, você abre a página de login do Google, informa o e-mail e, se aparecer a lista de chaves, toca na que quer usar e confirma com o desbloqueio. Em outro computador, o caminho é "Tentar de outra forma" e "Usar sua chave de acesso": o computador mostra um QR code, você o escaneia com o celular, confirma a chave e libera com digital, rosto ou PIN. Mantenha o Bluetooth ligado nesse caso.
O Google explica ainda que, depois de sair da conta em um aparelho Android, é possível voltar usando a mesma chave por até 6 horas. Passado esse tempo, é preciso outro método. Vale praticar o processo uma vez com calma, em casa, antes de precisar dele com pressa.
Verificação em duas etapas: a camada que fica
A chave de acesso não substitui a verificação em duas etapas, e sim se junta a ela. A página do Google sobre verificação em duas etapas ensina a ligar em "Segurança e login", na opção "Ativar verificação em duas etapas". Entre os segundos passos, o Google cita notificações no celular (recomendada), chaves de acesso e de segurança (a proteção mais forte contra phishing), aplicativos autenticadores e códigos por SMS, esta última descrita como a opção menos segura porque ataques ao número de telefone podem visá-la.
Gere também os códigos de backup, de 8 dígitos, e guarde em lugar seguro, impresso ou em um gerenciador de senhas. Eles servem de segundo passo se você perder o celular. Não os compartilhe com ninguém, nem com quem se diga funcionário do banco ou do Google.
O que fazer se perder o aparelho com a chave
Segundo o Google, o caminho é entrar na conta por outro aparelho que você ainda tenha, ir em "Segurança e login", abrir "Chaves de acesso e chaves de segurança", escolher a chave do aparelho perdido e tocar em "Remover". Se o aparelho for Android e a chave foi criada automaticamente, vá em "Seus dispositivos", depois "Gerenciar todos os dispositivos", escolha o aparelho e saia da conta nele. Você pode revisar quais aparelhos acessam a conta em google.com/devices.
Para um golpe que já aconteceu, como transferência feita por engano, o passo a passo é outro e depende de rapidez. O guia sobre golpe do Pix e o MED traz o que fazer nas primeiras horas.
Dicas do CERT.br que continuam valendo
As Dicas Rápidas da Cartilha de Segurança do CERT.br são curtas e atuais no que importa. Sobre senhas: usar senhas longas, com números aleatórios e tipos variados de caracteres, evitar dados pessoais e sequências de teclado, não repetir senha e trocar de imediato se suspeitar de vazamento. Sobre o segundo fator: ligar a verificação em duas etapas sempre que existir, e nos aplicativos de mensagem nunca repassar códigos de autenticação nem agir sobre código que você não pediu.
Sobre golpes, o CERT.br pede desconfiança de mensagens que prometem muito dinheiro, exigem segredo ou pressa, usam palavras como "urgente" ou "confidencial", pedem pagamento adiantado ou têm erros de português. Hoje esse último sinal falha mais, porque a IA escreve bem. Por isso o hábito principal é confirmar por outro canal, como explica o guia de como checar mensagem suspeita com IA.
Exemplo: Marta, 52 anos, e a conta que vira cadeado
Marta tem uma loja de roupas e usa a mesma conta Google para e-mail, Drive e anúncios. Ela recebe um e-mail dizendo que a conta será suspensa em 24 horas, com um link para "confirmar a senha". Antes, a única coisa que a separava do golpe era a atenção dela. Depois de uma tarde de configuração, ela tem uma passkey no celular e no notebook, a verificação em duas etapas ligada e os códigos de backup impressos numa pasta em casa (exemplo hipotético).
O mesmo e-mail chega de novo. Marta não clica: abre o app do Google direto e vê que não há nenhum aviso. Mesmo que ela clicasse e visse uma página parecida, a chave de acesso não funcionaria em um site falso. Ela ainda lê o guia de privacidade e IA para revisar o que compartilha com assistentes, e o de prompt injection para entender por que não deve dar a uma IA acesso irrestrito à caixa de e-mail.
Erros comuns
- Criar passkey em aparelho compartilhado. O Google recomenda não fazer isso.
- Apagar o método antigo no mesmo dia. A chave nova pode levar até 7 dias para ficar disponível.
- Ter uma chave só. Se perder o aparelho, a recuperação fica mais difícil. Crie em dois.
- Passar o código recebido por SMS. Nenhum banco ou empresa pede esse código por mensagem ou telefone.
- Pedir a uma IA para guardar senhas. Use um gerenciador próprio, e leia antes o checklist para escolher ferramenta de IA com segurança.
- Esquecer o resto das contas. Comece pela conta Google, onde ficam e-mail e recuperação de outros serviços, depois estenda ao resto.
A segurança da conta também depende do que você compartilha. Um áudio de WhatsApp pode ser clonado para imitar sua voz, como explica o guia de deepfakes e como proteger a reputação. Assistentes que agem no navegador, como a extensão do ChatGPT no Chrome, pedem permissões que merecem leitura atenta. O histórico de conversas também guarda informação: veja como apagar o histórico do Gemini. E, se uma empresa o tratou mal depois de um golpe, o passo a passo de reclamar pelo consumidor.gov.br ajuda. Quem está começando pode ainda rever os cinco erros comuns de quem começa a usar IA.
Comece hoje por uma coisa só: crie a chave de acesso no celular e ligue a verificação em duas etapas. Para ver mais cuidados práticos, leia também o guia de compras na Black Friday sem cair em golpe e a categoria de IA para iniciantes.
Quem escreveu
Bruno Danello
Editor e fundador do Portal da AI
Bruno Danello é o criador do Portal da AI e do projeto Vocação de Pai. Escreve todos os dias sobre como pessoas comuns podem entender, usar e ganhar dinheiro com inteligência artificial, sem jargão técnico e com exemplos reais.
