Passwordless: como funciona a autenticação sem senha

Por que as senhas se tornaram o elo mais fraco da segurança

As senhas foram, durante décadas, o método padrão de autenticação em praticamente todos os sistemas digitais. O problema é que elas dependem de um fator humano que não escala: a memória. Diante da exigência de dezenas de credenciais diferentes, os usuários recorrem a atalhos perigosos — repetem a mesma senha em vários serviços, criam variações previsíveis ou anotam tudo em locais inseguros. O resultado é conhecido: segundo o Data Breach Investigations Report da Verizon, mais de 80% das violações relacionadas a ataques web envolvem credenciais roubadas ou fracas.

Além do comportamento do usuário, as senhas sofrem de uma fragilidade estrutural: elas são um segredo compartilhado. Tanto o usuário quanto o servidor precisam conhecer (ou armazenar um derivado de) a mesma informação. Isso significa que um vazamento no lado do servidor expõe milhões de contas de uma vez, mesmo que o usuário tenha feito tudo certo. Phishing, ataques de força bruta, credential stuffing e engenharia social exploram exatamente essa característica.

A autenticação sem senha — ou passwordless — nasce para eliminar esse segredo compartilhado. Em vez de algo que o usuário sabe e digita, a verificação passa a depender de algo que o usuário possui (um dispositivo confiável) combinado com algo que ele é (biometria) ou algo local que só ele conhece (um PIN que nunca sai do aparelho). A senha simplesmente deixa de existir — e o que não existe não pode ser vazado, adivinhado ou capturado em uma página falsa.

Como funciona o passwordless: criptografia de chave pública em ação

O coração da autenticação sem senha é a criptografia assimétrica, o mesmo fundamento matemático que protege conexões HTTPS e assinaturas digitais. No momento do cadastro, o dispositivo do usuário gera um par de chaves criptográficas: uma chave privada, que fica armazenada de forma segura no próprio aparelho (em um chip dedicado como o TPM ou o Secure Enclave), e uma chave pública, que é enviada ao servidor do serviço.

Quando o usuário precisa se autenticar, o servidor envia um desafio — um bloco de dados aleatório. O dispositivo assina esse desafio com a chave privada, e o servidor verifica a assinatura usando a chave pública registrada. Se a assinatura confere, a identidade está comprovada. Em nenhum momento a chave privada sai do dispositivo, e em nenhum momento trafega qualquer segredo que possa ser interceptado e reutilizado.

Esse desenho inverte a lógica de risco das senhas tradicionais. O servidor armazena apenas chaves públicas, que não têm valor para um atacante: mesmo que o banco de dados inteiro seja vazado, não há nada ali que permita acessar as contas. O desafio assinado é único por sessão, o que inutiliza ataques de repetição. E como a assinatura é vinculada ao domínio legítimo do serviço, uma página de phishing hospedada em outro endereço simplesmente não consegue obter uma autenticação válida.

FIDO2 e WebAuthn: o padrão aberto por trás da autenticação sem senha

Para que o passwordless funcionasse em escala global, era preciso um padrão aberto que qualquer navegador, sistema operacional e serviço pudesse implementar. Esse padrão é o FIDO2, desenvolvido pela FIDO Alliance (consórcio que reúne Microsoft, Google, Apple e centenas de outras empresas) em conjunto com o W3C. O FIDO2 é composto por duas especificações complementares:

• WebAuthn (Web Authentication): a API padronizada pelo W3C que permite a sites e aplicações web solicitarem autenticação criptográfica diretamente ao navegador, sem plugins ou softwares adicionais. Está presente em Chrome, Edge, Safari e Firefox.
• CTAP (Client to Authenticator Protocol): o protocolo que faz a ponte entre o computador ou navegador e o autenticador — que pode ser o próprio dispositivo (autenticador de plataforma) ou um hardware externo, como uma chave de segurança USB/NFC (autenticador itinerante).

Na prática, isso significa que uma empresa pode habilitar login sem senha no seu portal web e o mesmo fluxo funcionará para um usuário com Windows Hello no notebook corporativo, outro com Face ID no iPhone e um terceiro com uma chave física YubiKey. O padrão também é a base do login sem senha no Microsoft Entra ID (antigo Azure AD), que permite eliminar senhas do ambiente Microsoft 365 usando Windows Hello for Business, o aplicativo Microsoft Authenticator ou chaves FIDO2.

O FIDO2 foi projetado com um princípio central: nenhum segredo compartilhado, nenhum dado biométrico e nenhuma chave privada jamais saem do dispositivo do usuário. O servidor só conhece a chave pública — que, sozinha, é inútil para um atacante.

Passkeys: a evolução que tornou o passwordless prático

As passkeys são a implementação mais recente e amigável do padrão FIDO2, promovida em conjunto por Apple, Google e Microsoft desde 2022. Tecnicamente, uma passkey é uma credencial FIDO2 — o mesmo par de chaves criptográficas descrito acima — mas com uma diferença decisiva para a adoção em massa: ela pode ser sincronizada com segurança entre os dispositivos do usuário por meio de serviços como o iCloud Keychain, o Gerenciador de Senhas do Google ou gerenciadores corporativos compatíveis.

Essa sincronização resolve o maior obstáculo prático das credenciais vinculadas a um único aparelho: a perda ou troca do dispositivo. Com passkeys, o usuário que compra um celular novo recupera suas credenciais automaticamente ao entrar na sua conta de nuvem, sem precisar recadastrar acesso em cada serviço. Também é possível usar uma passkey do celular para autenticar uma sessão no computador, escaneando um QR code — o celular e o computador se comunicam por Bluetooth para garantir proximidade física, o que bloqueia tentativas remotas de phishing.

O fluxo de uso é deliberadamente simples: o usuário acessa o site, escolhe entrar com passkey, e o dispositivo pede apenas a verificação local — impressão digital, reconhecimento facial ou PIN do aparelho. Não há nada para digitar, memorizar ou receber por SMS. Grandes serviços como Google, Microsoft, Amazon, PayPal, WhatsApp e Mercado Livre já oferecem suporte, e o ecossistema cresce mês a mês.

O papel da biometria: conveniência local, não segredo remoto

Um receio comum sobre autenticação biométrica é a ideia de que a impressão digital ou o rosto do usuário estariam sendo enviados e armazenados em servidores de terceiros. No modelo passwordless baseado em FIDO2, isso não acontece — e entender esse detalhe é essencial para avaliar corretamente a segurança da tecnologia.

A biometria atua exclusivamente como mecanismo de desbloqueio local da chave privada. O template biométrico é processado e armazenado em hardware dedicado e isolado do sistema operacional (Secure Enclave nos dispositivos Apple, TPM no Windows, StrongBox no Android) e jamais é transmitido pela rede. O servidor do serviço não sabe — e não precisa saber — se o usuário se verificou com o rosto, com o dedo ou com um PIN. Ele apenas recebe a prova criptográfica de que o dono legítimo do dispositivo autorizou aquela autenticação.

Esse arranjo combina dois fatores de autenticação em um único gesto: a posse do dispositivo (primeiro fator) e a verificação biométrica ou PIN (segundo fator). Por isso, o login com passkey é considerado autenticação multifator por padrão — mais forte que senha combinada com código por SMS, que é vulnerável a interceptação e a golpes de troca de chip (SIM swap).

Benefícios concretos para empresas — e como a Duk pode ajudar

Para o ambiente corporativo, a adoção de autenticação sem senha traz ganhos mensuráveis em três frentes. Na segurança, elimina de vez as categorias de ataque mais comuns: phishing de credenciais, credential stuffing, força bruta e vazamento de bancos de senhas. A Microsoft reporta que contas protegidas por autenticação forte resistem a mais de 99% dos ataques automatizados de comprometimento. Na produtividade, reduz drasticamente os chamados de redefinição de senha — que, segundo o Gartner, representam de 20% a 50% do volume de service desk em muitas organizações. E na experiência do usuário, substitui a fricção diária de digitar e trocar senhas por um gesto de um segundo.

A implementação, porém, exige planejamento: inventariar aplicações e verificar compatibilidade com FIDO2/WebAuthn, definir políticas de registro e recuperação de credenciais, configurar o Microsoft Entra ID ou outro provedor de identidade, estabelecer o uso de chaves físicas para contas privilegiadas e conduzir a mudança cultural com os usuários. Uma transição gradual — começando pelo passwordless como opção e evoluindo até a remoção efetiva das senhas — costuma ser o caminho mais seguro.

A Duk Informática & Cloud acompanha essa evolução de perto e apoia empresas em todo o ciclo de adoção: do diagnóstico do ambiente de identidade à configuração do Windows Hello for Business, do Microsoft Authenticator e de chaves FIDO2 no Microsoft 365, passando pela definição de políticas de acesso condicional e pelo suporte contínuo aos usuários. Com mais de 18 anos de experiência, 550+ empresas atendidas e a certificação Microsoft Gold Partner, a Duk ajuda sua organização a eliminar o elo mais fraco da segurança — a senha — sem comprometer a produtividade da equipe. Fale com nossos especialistas e descubra como iniciar essa transição de forma estruturada.