- Ativar as passkeys faz com que elas fiquem disponíveis. O Acesso Condicional, com um nível de autenticação resistente a phishing, é o que torna as passkeys obrigatórias.
- Use perfis de passkeys para oferecer a cada grupo as opções certas: autenticadores com atestado e vinculados ao dispositivo para administradores; passkeys sincronizadas para o restante da equipe, mas só se a sua avaliação de risco permitir.
- Trate o registro de passkeys como um evento sensível. Exija um login forte ou um Passe de Acesso Temporário de curta duração e avise o usuário sempre que uma nova passkey for criada.
- Registre dois autenticadores por usuário e teste a recuperação antes de remover o recurso de retorno à senha.
Este guia pressupõe que você sabe o que são passkeys e por que elas resistem ao phishing. Se não, comece com nosso guia sobre passkeys e login sem senha.
Escolha a opção certa da Microsoft
A Microsoft oferece quatro opções sem senha, e é fácil se confundir:
- O Windows Hello for Business é a credencial de login para PCs associados ou registrados no Microsoft Entra, com suporte do TPM. Continua sendo a opção recomendada pela Microsoft para fazer login em dispositivos Windows gerenciados pela empresa.
- As passkeys do Microsoft Entra no Windows são passkeys FIDO2 vinculadas ao dispositivo, armazenadas no contêiner local do Windows Hello. Elas funcionam em dispositivos que não estão associados ou registrados no Entra, não são sincronizadas e exigem um registro separado em cada dispositivo. Elas não fazem o login do usuário diretamente no Windows.
- As passkeys no Microsoft Authenticator são passkeys vinculadas ao dispositivo e mantidas no aplicativo no celular do usuário. Trocar de celular significa registrar uma nova passkey.
- As chaves físicas de segurança FIDO2 são autenticadores portáteis, vinculados ao dispositivo, conectados via USB ou NFC.
Identifique as lacunas antes de começar
Aplicativos que se federam ao Entra ID por meio de SAML ou OIDC herdam o login por passkey sem alterações. Aplicativos que se autenticam por RADIUS, NTLM, Kerberos com senhas ou por meio de seus próprios formulários de login precisam ser atualizados, migrados ou protegidos por um proxy.
O login único raramente cobre tudo. Verifique se há contas locais em servidores e dispositivos de rede, contas de emergência e de serviço excluídas da política, pontos de autenticação legados que ainda aceitam senhas e aplicativos com seu próprio banco de dados de usuários. Cada um deles é uma brecha na sua política de passkey até que seja corrigido ou explicitamente aceito como um risco.
O gerenciamento de dispositivos também tem limites. Você controla os dispositivos gerenciados pela empresa, mas uma passkey sincronizada na conta pessoal do usuário no iCloud ou no Google fica fora do seu controle.
Defina os tipos de passkey por grupo de usuários
Raramente uma única política serve para toda a organização. Um ponto de partida:
| Grupo de usuários | Autenticador sugerido | Observações |
|---|---|---|
| Administradores globais e com privilégios | Chaves físicas de segurança FIDO2 com atestado, duas por pessoa | Sem passkeys sincronizadas; vinculadas à ativação da função no PIM |
| Finanças, RH e outras funções de alto risco | Vinculadas ao dispositivo: chave de segurança, Windows Hello for Business ou Authenticator | Restringir aos modelos de autenticadores aprovados sempre que possível |
| Funcionários em geral | Windows Hello for Business em PCs gerenciados, além de uma passkey no celular | Passkeys sincronizadas são aceitáveis se a sua avaliação de risco permitir |
| Estações de trabalho compartilhadas e equipe de atendimento ao público | Chaves físicas de segurança pessoais ou o Windows Hello for Business em dispositivos compartilhados | Nunca compartilhe uma passkey entre pessoas |
| Prestadores de serviços e visitantes | A autenticação multifatorial (MFA) resistente a phishing da própria organização deles, por meio de confiança entre locatários, ou uma chave de segurança emitida por você | Revogar ao término do contrato |
Os perfis de passkey, disponíveis no Entra ID desde março de 2026, colocam essa tabela em prática: cada perfil define se um grupo pode registrar passkeys vinculadas a dispositivos, passkeys sincronizadas ou ambas. O atestado permite que o Entra ID confirme a marca e o modelo do autenticador no momento do registro. As passkeys sincronizadas não oferecem atestado, então, ao exigir isso, elas são excluídas. Exija isso para usuários privilegiados e de alto risco.
Cadastro seguro
Quem registrar uma passkey ganha um acesso permanente. Exija um login recente com autenticação forte ou um Passe de Acesso Temporário (TAP) antes do registro, registre em log cada novo cadastro, avise o usuário por um canal separado quando um for adicionado e dê aos usuários e à central de atendimento uma maneira rápida de ver e revogar as passkeys registradas. Mantenha a validade do TAP curta, dê preferência ao uso único e verifique a identidade antes de emitir um.
As passkeys pertencem a uma pessoa. Em estações de trabalho compartilhadas, forneça a cada usuário uma chave de segurança ou use o Windows Hello for Business em dispositivos compartilhados. Um TAP pode facilitar o cadastro de funcionários em turnos sem precisar reintroduzir senhas permanentes.
Aplique com o Acesso Condicional
Habilitar as passkeys na política de Métodos de autenticação não impede que os usuários façam login com métodos mais fracos. A aplicação da política vem do Acesso Condicional com um nível de segurança de autenticação. O nível integrado "MFA resistente a phishing" aceita passkeys (FIDO2), o Windows Hello for Business e a autenticação baseada em certificado. Um nível de segurança personalizado pode restringir ainda mais isso, por exemplo, a modelos específicos de chaves de segurança identificados pelo AAGUID.
Comece pelos portais de administrador, e-mail e aplicativos financeiros, depois expanda. Para funções gerenciadas pelo Privileged Identity Management, exija autenticação resistente a phishing na ativação da função, para que uma sessão roubada da conta padrão do usuário não possa ser usada para escalar privilégios.
Licenciamento
O registro e o uso de passkeys não exigem uma licença premium. O Acesso Condicional e os níveis de segurança de autenticação exigem o Microsoft Entra ID P1. Políticas baseadas em risco, como exigir MFA resistente a phishing quando o risco de login é alto, exigem o P2 por meio do Microsoft Entra ID Protection.
Planeje a recuperação e o ciclo de vida
O NIST espera que a recuperação seja tão robusta quanto o autenticador que ela substitui. Um link de redefinição enviado por e-mail não passa nesse teste. Planeje cada cenário antes de remover as senhas:
| Cenário | Resposta |
|---|---|
| Perda do autenticador vinculado ao dispositivo | O usuário faz login com seu segundo autenticador registrado; o perdido é revogado. Sem backup, é preciso fazer um novo cadastro com verificação de identidade pelo suporte técnico. |
| Perda do celular com passkeys sincronizadas | As passkeys permanecem nos outros dispositivos do usuário; o usuário protege a conta do provedor e remove o celular perdido dela. |
| Suspeita de comprometimento do autenticador ou da conta de sincronização | Revogue a passkey no Entra ID, revogue as sessões e os tokens de atualização e revise os acessos e cadastros recentes. |
| Redefinição pelo suporte técnico | Verifique a identidade por um método que um invasor não consiga falsificar facilmente (videochamada com identificação, confirmação do gerente) e, em seguida, emita um Passe de Acesso Temporário (TAP) de curta duração. |
| Recuperação de conta privilegiada | Aprovação por duas pessoas, verificação de identidade pessoalmente ou por vídeo e uma análise posterior das atividades da conta. |
| Saída de funcionário | Desative a conta e remova suas passkeys no Entra ID. Uma cópia sincronizada que ficar no dispositivo pessoal fica inutilizada assim que a credencial for excluída do servidor. |
A maioria dos projetos de passkeys enfrenta seu primeiro problema real quando um usuário perde seu único dispositivo registrado. Registre dois autenticadores no momento do cadastro, por exemplo, o Windows Hello for Business e uma passkey no celular, ou duas chaves de segurança para administradores, e avise a central de atendimento antes de desativar o recurso de retorno à senha para qualquer grupo.
Teste e avalie
Faça um teste-piloto com um grupo que represente seus usuários reais, não apenas a equipe de TI: diferentes funções, tipos de dispositivos, locais e necessidades de acessibilidade. Vinte pessoas por quatro semanas é um exemplo razoável, não uma regra. Teste o cadastro, o login diário, o login entre dispositivos e uma simulação de perda de dispositivo, incluindo um usuário sem autenticador de reserva. Depois, acompanhe essas métricas à medida que você for expandindo:
| Métrica | O que isso indica |
|---|---|
| Usuários com pelo menos dois autenticadores registrados resistentes a phishing | Cobertura e resiliência de recuperação |
| Logins concluídos com um método resistente a phishing | Uso real, não só registro |
| Logins que ainda usam senhas, SMS ou notificações push, por aplicativo | Caminhos alternativos restantes a serem eliminados |
| Tickets de suporte técnico e tempo para recuperar um usuário que perdeu seu autenticador | Dificuldades do usuário e se a recuperação funciona na prática |
Cinco passos para começar neste trimestre
- Mapeie suas rotas de autenticação: liste quais aplicativos se federam ao Entra ID e quais ainda aceitam senhas por meio de protocolos legados, contas locais ou contas excluídas.
- Configure perfis de passkeys: autenticadores com atestado e vinculados a dispositivos para administradores, e decida se vai usar passkeys sincronizadas para todo mundo.
- Garanta a segurança do cadastro e da recuperação: exija autenticação forte ou um TAP para o cadastro, avise os usuários sobre novas passkeys e teste cada cenário de recuperação.
- Faça um teste piloto representativo: dois autenticadores por usuário, com login em vários dispositivos e um teste para perda de dispositivo.
- Aplique por nível de risco: exija primeiro a autenticação resistente a phishing para aplicativos de alto risco e, depois, defina um plano com prazos para eliminar gradualmente o login por senha, grupo por grupo.
Ryland lidera programas de cibersegurança, conformidade e gestão de TI para organizações regulamentadas no Brasil, Reino Unido e Países Baixos há mais de 20 anos. Perfil completo