A FIDO Alliance publicou o Passkey Index de 2026 com dados de 15 grandes serviços de consumo. Nessa amostra, mais de um terço dos logins bem-sucedidos já utiliza passkeys. A organização também estima a existência de 7 bilhões dessas credenciais em uso no mundo.1

Os dois números descrevem coisas diferentes. Credenciais não são pessoas: uma conta pode ter mais de uma passkey, e uma pessoa pode usar várias contas. Já a participação nos logins corresponde aos serviços observados, não a toda a internet. Mesmo com esses limites, o relatório sinaliza uma mudança relevante: a discussão passa da disponibilidade do recurso para seu uso cotidiano.

A credencial fica vinculada ao serviço

Passkeys utilizam criptografia de chave pública. O serviço registra uma chave pública e verifica uma prova produzida com a chave privada, em vez de receber uma senha que o usuário precisa lembrar e digitar. O WebAuthn define mecanismos para vincular a credencial ao serviço e à origem envolvidos na autenticação.2

Essa vinculação ajuda a enfrentar phishing de uma maneira diferente de simplesmente acrescentar mais um código à senha. Uma página falsa não deve conseguir usar a credencial destinada à origem legítima. A proteção depende de uma implementação correta e não elimina riscos em outras partes da conta.

O desbloqueio pode utilizar um mecanismo local do dispositivo, como biometria ou PIN. Isso não significa que a aplicação receba a impressão digital do usuário. A autenticação do serviço e a verificação local têm funções distintas no processo.2

Para o usuário, a experiência tende a parecer mais simples do que essa descrição técnica. O desafio de produto é apresentar a opção de forma reconhecível e deixar claro qual conta está sendo acessada, sem exigir que a pessoa entenda o mecanismo criptográfico.

Recuperar acesso continua sendo parte do login

Uma autenticação forte pode conviver com um caminho de recuperação fraco. Se perder o telefone leva a um procedimento que entrega a conta com pouca verificação, o problema foi deslocado para outra tela.

Por isso, adicionar passkeys envolve também pensar em troca de equipamento, múltiplas credenciais e remoção de acessos antigos. A FIDO aponta a limitação a uma única passkey por conta entre os erros de experiência que sua nova orientação de avaliação pretende ajudar a evitar.1

Em um portal empresarial, essa questão encontra outra: quem tem autoridade para agir pela organização? A identidade de uma pessoa não deve ser confundida com uma senha compartilhada da empresa. Cada usuário precisa manter seu acesso, enquanto o sistema controla a quais empresas e operações ele está vinculado.

Também vale distinguir recuperação de acesso e autorização de uma ação sensível. Entrar na conta não precisa dar permissão irrestrita para alterar dados bancários, administrar usuários ou aprovar uma operação. Esses efeitos continuam dependendo das regras do produto.

A adoção aparece no percurso completo

O índice relata logins mais rápidos e uma taxa de sucesso superior à de senhas e métodos tradicionais de autenticação multifator nos serviços participantes. Esses resultados são evidências da amostra, não uma garantia de desempenho para qualquer aplicação.1

Um produto precisa observar seu próprio percurso: quantas pessoas encontram a opção, conseguem cadastrar a credencial, voltam a usá-la e concluem o acesso sem pedir suporte. Medir somente cadastros pode esconder um recurso que foi ativado, mas não se tornou habitual.

Os testes também precisam incluir ambientes diferentes. Um acesso pelo navegador do computador e outro pelo telefone podem oferecer experiências distintas. A interface deve ajudar a escolher um caminho disponível, em vez de repetir uma tentativa que aquele contexto não consegue concluir.

Passkeys ampliam as possibilidades de construir um login seguro sem impor mais trabalho a cada entrada. O avanço descrito pela FIDO importa porque mostra uso real, além da instalação da tecnologia. Para quem desenvolve portais e sistemas, a oportunidade é tratar cadastro, autenticação e recuperação como uma experiência contínua, com identidade e permissões preservadas do começo ao fim.

  1. FIDO Alliance, "7 Billion Passkeys and Counting: The Next Chapter of Passwordless Authentication", 15 out. 2026. ↩
  2. W3C, "Web Authentication: An API for accessing Public Key Credentials - Level 2", recomendação de 8 abr. 2021. ↩