Como a Google tornou o passkey o login padrão de contas
O login sem senha deixou de ser promessa de laboratório quando uma das maiores contas de consumidor do mundo o adotou por padrão. A Google lançou o passkey em 2022, no Dia Mundial da Senha, e em 10 de outubro de 2023 passou a oferecê-lo como opção padrão nas contas pessoais. Quem entra hoje vê o aviso para confirmar com impressão digital, rosto ou PIN antes de qualquer campo de senha.
O detalhe que interessa para quem toca uma PME é que isso não fica preso ao Gmail. O mesmo padrão que a Google usa está aberto para qualquer site, inclusive a área de cliente da sua empresa. Se o seu negócio depende de login para vender, enviar orçamento ou mostrar o andamento de um pedido, a decisão da Google funciona como termômetro de mercado: a senha perdeu o posto de único caminho aceitável, e o público que compra pela internet começa a esperar alternativas.
Os dados que a Google divulgou em maio de 2024 dão a escala do movimento. O passkey já havia sido usado mais de 1 bilhão de vezes, em mais de 400 milhões de contas, e a empresa afirma que o método é cerca de 50% mais rápido que a senha. Menos tela de senha, menos abandono no login.
Esse movimento tem data e direção. A Google não apresentou o passkey como experimento: colocou como padrão, deixou a senha em segundo plano e passou a exibir o aviso de criação já no primeiro acesso. Para quem acompanha o mercado, o recado vem no volume de contas que já migraram. Quando a porta de entrada de contas desse tamanho muda, o comportamento de quem navega muda junto, e o cliente leva essa expectativa para o próximo site que abrir, inclusive o seu.
O padrão FIDO Alliance por trás do passkey sem senha
Passkey é o nome comercial de uma credencial baseada no padrão FIDO2, que incorpora a especificação WebAuthn do W3C. Em vez de uma palavra que você digita e que pode ser copiada, o acesso usa um par de chaves criptográficas geradas no seu aparelho, e a chave privada nunca sai dele. O site guarda apenas a chave pública, que sozinha não abre porta nenhuma.
A FIDO Alliance, associação que mantém o padrão, apresenta o passkey como resistente a phishing, e a razão é direta. O golpe de phishing vive de fazer a vítima digitar a senha em uma página falsa. Sem senha para digitar, não há o que entregar ao golpista, e a credencial só responde ao endereço real do site. Junte a isso o fim da base de senhas guardadas no servidor, aquele arquivo que um invasor adora levar inteiro.
Uma dúvida comum trava a adoção: e se o cliente trocar de celular? O passkey não fica preso a um único aparelho. Ele é sincronizado com segurança pelo gerenciador da conta, o mesmo mecanismo que a Google usa para levar a credencial de um dispositivo a outro. Na prática, o cliente troca de telefone, entra na conta e o acesso continua, sem o velho processo de redefinir senha por e-mail. Por ser padrão aberto, o passkey já vem embutido nos navegadores e nos sistemas de celular que a maior parte dos seus clientes carrega no bolso.
O que o exemplo da Google muda no login da sua PME
Levar o passkey para o seu site não significa desligar a senha da noite para o dia. O caminho realista é oferecer o passkey como opção a mais e deixar cada cliente migrar no próprio ritmo. Alguns efeitos aparecem cedo na operação:
- Menos pedidos de redefinição de senha, que hoje lotam o suporte e travam a compra de quem esqueceu os dados.
- Menos conta invadida por senha reaproveitada de outro site que vazou.
- Login mais rápido no celular, justo onde digitar senha longa é o ponto em que muita gente desiste.
- Um banco de dados sem senhas para roubar, o que diminui o estrago de um eventual incidente.
Pense no cliente que volta ao seu site depois de meses. Com senha, ele tenta lembrar, erra, pede redefinição, espera o e-mail e às vezes desiste antes de comprar. Com passkey, ele confirma com o rosto ou a digital e entra em segundos. Essa diferença de segundos, repetida a cada visita, é o que separa um login que ajuda a vender de um que espanta comprador.
Cabe separar o ruído do que muda de fato. Passkey não é bala de prata nem obriga a trocar a plataforma inteira do site. É um recurso que se soma ao login existente. O trabalho real fica na implementação: ativar o WebAuthn, cuidar do cadastro e da recuperação de acesso para quem troca de celular, e testar em aparelhos diferentes antes de liberar.
O resultado que interessa a quem vende pela internet é fácil de enxergar: menos gente presa na tela de senha e menos conta comprometida por credencial vazada. Colocar o passkey para rodar na área de cliente pede um site bem construído, com atenção a segurança e compatibilidade. Se a sua empresa quer preparar o login para esse cenário, a criação de sites da Lynxweb já pode nascer com o padrão sem senha no projeto.
