Passkeys para empresas: autenticação sem senha

Passkeys para empresas estão deixando de ser apenas uma alternativa moderna à senha para se tornar parte central da estratégia de identidade corporativa. Em outubro de 2026, essa mudança ficou especialmente relevante para ambientes Microsoft porque o Microsoft Entra ID já iniciou uma transição concreta: usuários habilitados para autenticação por SMS ou voz passaram a ser automaticamente habilitados para passkeys, enquanto a telefonia nativa desses métodos possui datas definidas para aposentadoria em 2027.

Resposta objetiva: passkeys são credenciais baseadas em padrões FIDO2 que utilizam criptografia de chave pública e são vinculadas ao serviço legítimo no qual foram registradas. Em vez de pedir uma senha reutilizável e depois um código que pode ser digitado em uma página falsa, a autenticação utiliza uma chave privada protegida pelo dispositivo, aplicativo ou autenticador e uma chave pública registrada no serviço. Para empresas, a migração deve envolver inventário dos métodos atuais, escolha do tipo de passkey, registro controlado, recuperação de conta, Conditional Access, proteção das contas administrativas e retirada gradual de métodos mais suscetíveis a phishing.

A Microsoft define passkeys como credenciais resistentes a phishing construídas sobre os padrões FIDO. Segundo a documentação atual do Microsoft Entra ID, elas utilizam criptografia de chave pública vinculada à origem, o que impede que a credencial seja simplesmente reproduzida ou reutilizada em um site malicioso. A chave privada permanece protegida pelo autenticador, enquanto o serviço mantém a chave pública necessária para validar a autenticação. Fonte: Microsoft Learn - passkeys FIDO2 no Microsoft Entra ID

A mudança é relevante porque ataques modernos não dependem apenas de descobrir senhas fracas. Páginas falsas, engenharia social e ataques adversary-in-the-middle podem tentar capturar credenciais ou códigos temporários e retransmiti-los para o serviço legítimo. Uma passkey FIDO2 foi projetada para reconhecer a origem correta da autenticação, reduzindo justamente esse tipo de ataque remoto.

Isso também explica por que a estratégia não deve ser reduzida a “tirar senha porque é mais confortável”. O benefício empresarial principal é elevar a resistência da identidade a phishing. Conveniência é consequência importante, mas não deve substituir arquitetura, governança e recuperação.

Leia mais sobre:
MFA resistente a phishing: por que qualquer segundo fator já não deve ser tratado como proteção equivalente

O que é uma passkey?

Uma passkey é uma credencial criptográfica criada para um serviço específico. Durante o registro, é criado um par de chaves: uma chave pública pode ser armazenada pelo provedor do serviço, enquanto a chave privada permanece protegida pelo autenticador do usuário. Quando a pessoa tenta entrar, o serviço envia um desafio que precisa ser assinado pela chave privada correta.

O usuário normalmente libera essa chave através de algum mecanismo local, como:

• biometria;
• PIN do dispositivo;
• chave de segurança física;
• autenticador compatível.

A senha não precisa ser transmitida para comprovar a identidade nesse processo.

Por que passkey é resistente a phishing?

Porque a credencial não é simplesmente um segredo que a pessoa consegue copiar e colar em qualquer tela. Em FIDO2, a autenticação é associada à origem do serviço. Uma página falsa que imite visualmente o Microsoft 365 não recebe automaticamente a capacidade de utilizar a credencial criada para a origem legítima da Microsoft.

Isso muda a dinâmica do ataque.

Com senha e código temporário, um criminoso pode tentar convencer a vítima a entregar:

• senha;
• código SMS;
• OTP;
• aprovação de login.

Com uma passkey baseada corretamente em FIDO2, não existe uma senha reutilizável ou um código equivalente que o usuário simplesmente transfira para a página falsa.

Passkey é igual a senha salva no navegador?

Não.

Um gerenciador de senhas pode armazenar e preencher uma senha tradicional, mas a credencial continua sendo uma senha compartilhada entre usuário e serviço. A passkey trabalha com um par criptográfico assimétrico.

Passkey é MFA?

Pode satisfazer requisitos de autenticação forte quando a implementação combina posse da credencial com verificação local do usuário, como biometria ou PIN. No Microsoft Entra, passkeys FIDO2 fazem parte dos métodos que podem atender à força de autenticação resistente a phishing definida em Conditional Access.

A Microsoft mantém três forças de autenticação internas relevantes:

• MFA;
• MFA sem senha;
• MFA resistente a phishing.

Entre os métodos capazes de satisfazer a força resistente a phishing estão chaves de segurança FIDO2 e credenciais Windows Hello for Business ou outras credenciais de plataforma compatíveis. Fonte: Microsoft Learn - forças de autenticação do Conditional Access

Por que SMS está perdendo espaço?

Porque o código recebido por telefone continua sendo informação que pode ser capturada, retransmitida ou obtida através de diferentes tipos de fraude. SMS representa uma evolução importante em relação à senha isolada, mas já não deveria ser tratado como destino final de uma estratégia moderna de autenticação para contas sensíveis.

O próprio Microsoft Entra passou a tratar passkeys como experiência padrão e anunciou a retirada da telefonia nativa para SMS e voz. Essa mudança não significa que o número de telefone deixará de existir em qualquer fluxo empresarial, mas mostra claramente qual direção a Microsoft está adotando para autenticação corporativa.

O que mudou em 1º de setembro de 2026?

Desde 1º de setembro de 2026, usuários que estavam habilitados para SMS ou voz na política de métodos de autenticação do Microsoft Entra passaram a ser automaticamente habilitados para passkeys. A campanha de registro também pode incentivar esses usuários a registrar uma passkey durante o processo de autenticação.

A Microsoft informa que, por padrão, esses lembretes podem ser adiados pelo usuário. Portanto, habilitação automática não significa que todos os usuários de uma organização já migraram efetivamente para passkeys. Fonte: Microsoft Learn - passkeys por padrão e aposentadoria de SMS e voz

Quando SMS e voz deixam de ser fornecidos nativamente pela Microsoft?

A Microsoft definiu duas datas principais.

A Microsoft ainda prevê integração com provedores de telefonia externos através da Microsoft Security Store para organizações que tenham necessidade operacional ou regulatória de manter esses canais. Isso, porém, é diferente de continuar dependendo da telefonia nativa historicamente fornecida pelo Entra. Fonte: Microsoft Learn - FAQ sobre aposentadoria de SMS e voz

Minha empresa precisa migrar todo mundo imediatamente?

Não precisa fazer uma migração desorganizada, mas também não deveria esperar até janeiro de 2027 para começar. O melhor caminho é segmentar usuários, dispositivos, aplicativos e criticidade das contas. A transição pode ser feita por grupos, criando experiência, suporte e recuperação antes de ampliar o escopo.

Uma sequência possível é:

• administradores;
• TI e segurança;
• financeiro;
• diretoria;
• usuários com acesso a dados sensíveis;
• demais colaboradores.

A prioridade deve considerar impacto de comprometimento, não apenas facilidade técnica.

Quais tipos de passkey o Microsoft Entra suporta?

O Microsoft Entra atualmente trabalha com passkeys associadas ao dispositivo e passkeys sincronizadas, conforme configuração da política.

Passkey associada ao dispositivo

A chave privada permanece vinculada a um dispositivo ou autenticador específico. Exemplos incluem determinados usos do Microsoft Authenticator, chaves de segurança FIDO2 e passkeys armazenadas localmente no Windows.

Passkey sincronizada

A credencial pode ser sincronizada através de um provedor compatível para os dispositivos confiáveis do usuário. A Microsoft trata essa opção como alternativa conveniente para muitos usuários, enquanto organizações com requisitos mais rigorosos podem optar por métodos associados ao dispositivo.

Fonte: Microsoft Learn - tipos de passkeys

Qual é melhor: passkey sincronizada ou associada ao dispositivo?

Depende do risco.

Uma empresa pode preferir passkeys sincronizadas para usuários comuns porque facilitam adoção e uso em vários dispositivos. Contas administrativas, ambientes regulamentados ou sistemas de maior impacto podem justificar passkeys associadas ao dispositivo ou chaves de segurança físicas.

A própria Microsoft recomenda chaves de segurança FIDO2 para setores altamente regulamentados ou usuários com privilégios elevados, destacando que essa escolha aumenta segurança, mas também pode aumentar custo de hardware, suporte e recuperação quando a chave física é perdida.

O que são perfis de passkey no Microsoft Entra?

O Microsoft Entra permite configurar perfis que definem quais tipos de passkey determinados grupos podem utilizar. Isso possibilita aplicar estratégias diferentes a usuários com perfis de risco diferentes, em vez de liberar qualquer autenticador para toda a organização.

Na configuração atual, administradores podem definir aspectos como:

• tipo de passkey permitido;
• passkeys sincronizadas;
• passkeys associadas ao dispositivo;
• restrições de chaves;
• atestação;
• grupos-alvo.

A documentação atual permite até três perfis de passkey, incluindo o perfil padrão. Fonte: Microsoft Learn - habilitar perfis de passkey

O que é atestação em FIDO2?

Atestação permite à organização validar características do autenticador durante o registro e restringir quais dispositivos ou fornecedores podem ser aceitos em determinados cenários. Isso pode ser relevante em ambientes regulados ou para contas altamente privilegiadas.

Entretanto, atestação adiciona complexidade e não precisa ser aplicada indiscriminadamente a todos os usuários. A estratégia deve ser compatível com a necessidade real da organização. Fonte: Microsoft Learn - atestação de passkeys FIDO2

Passkey no Microsoft Authenticator funciona como?

O Microsoft Authenticator pode armazenar passkeys associadas ao dispositivo para contas Microsoft Entra em cenários compatíveis. O aplicativo deixa de atuar apenas como gerador de aprovação ou segundo fator e passa a poder armazenar uma credencial FIDO2 resistente a phishing.

Isso é diferente de simplesmente receber uma notificação “Aprovar login”. A passkey utiliza o protocolo FIDO2 e uma credencial criptográfica vinculada ao serviço, oferecendo uma propriedade de segurança diferente daquela obtida por um push tradicional.

Windows Hello for Business é uma passkey?

Windows Hello for Business é uma credencial passwordless e resistente a phishing utilizada principalmente em dispositivos corporativos gerenciados. Dentro da estratégia de autenticação do Microsoft Entra, ela pode satisfazer a força de autenticação resistente a phishing.

Entretanto, a Microsoft também introduziu um conceito específico chamado Microsoft Entra passkey on Windows, que permite armazenar uma passkey FIDO2 diretamente no contêiner local do Windows Hello.

São conceitos relacionados, mas não idênticos.

Qual é a diferença entre Windows Hello for Business e Entra passkey no Windows?

Windows Hello for Business continua sendo a solução recomendada para entrada em dispositivos corporativos Microsoft Entra ingressados ou registrados. A passkey do Entra no Windows complementa esse cenário ao permitir uma credencial FIDO2 local no contêiner Windows Hello, inclusive em determinados dispositivos que não estejam ingressados ou registrados no Microsoft Entra.

A Microsoft esclarece que a passkey do Entra no Windows:

• fica armazenada localmente;
• é associada ao dispositivo;
• não é sincronizada para outros computadores;
• utiliza PIN, impressão digital ou reconhecimento facial do Windows Hello para liberar a credencial;
• não substitui Windows Hello for Business.

Fonte: Microsoft Learn - Microsoft Entra passkey no Windows

Chave de segurança física ainda faz sentido?

Sim.

Uma chave FIDO2 física continua sendo uma opção importante para usuários administrativos, equipes de TI, contas privilegiadas e organizações que precisam de uma credencial associada a um autenticador físico específico.

Nesse modelo, a chave privada não deixa o dispositivo de segurança. O usuário pode precisar inserir a chave, aproximá-la por NFC ou utilizar outro mecanismo suportado e confirmar a autenticação conforme o modelo.

A Microsoft recomenda considerar chaves FIDO2 para setores de maior regulação ou usuários privilegiados. Fonte: Microsoft Learn - registrar passkey em chave de segurança FIDO2

Todos os funcionários precisam receber uma chave física?

Não.

Uma implantação uniforme pode aumentar custo e suporte sem necessidade. A empresa pode trabalhar com perfis de autenticação diferentes conforme o risco.

Por exemplo:

• usuários comuns com passkeys sincronizadas permitidas;
• usuários corporativos gerenciados com Windows Hello;
• administradores com chaves FIDO2 associadas ao dispositivo;
• contas de emergência com estratégia específica.

A política deve refletir criticidade.

Passkeys estão disponíveis apenas em planos Microsoft caros?

Não.

A Microsoft informa que o método de autenticação por passkeys FIDO2 está disponível nas edições do Microsoft Entra ID, incluindo Entra ID Free, sem exigência de licença adicional apenas para registrar e utilizar a passkey.

Entretanto, capacidades de governança mais avançadas podem exigir licenciamento adicional. Por exemplo, utilizar Conditional Access para exigir uma força de autenticação específica requer Microsoft Entra ID P1 ou licenciamento equivalente aplicável. Fonte: Microsoft Learn - pré-requisitos para passwordless resistente a phishing

Como exigir passkeys em aplicativos críticos?

O Microsoft Entra permite utilizar Authentication Strengths dentro de políticas de Conditional Access. Em vez de exigir apenas “MFA”, a organização pode especificar que determinado recurso precisa de um método que satisfaça a força de autenticação resistente a phishing.

Isso possibilita uma estratégia em camadas.

Exemplo:

• aplicações comuns exigem MFA;
• financeiro exige método resistente a phishing;
• administração do Microsoft 365 exige força resistente a phishing;
• determinados sistemas aceitam somente métodos definidos em uma força personalizada.

Fonte: Microsoft Learn - Authentication Strengths

Devo começar pelas contas administrativas?

Sim, desde que a implantação seja preparada para evitar bloqueio.

A Microsoft recomenda MFA resistente a phishing para uma série de funções administrativas, incluindo Global Administrator, Conditional Access Administrator, Security Administrator, Exchange Administrator, SharePoint Administrator e outras funções privilegiadas.

A própria documentação alerta que aplicar a política antes de registrar métodos compatíveis pode bloquear administradores do tenant. Portanto, a ordem correta é preparar método, recuperação e contas de emergência antes da exigência. Fonte: Microsoft Learn - exigir MFA resistente a phishing para administradores

Como migrar sem bloquear usuários?

Use uma abordagem por fases.

Fase 1 - descoberta

Identifique quem ainda utiliza senha, SMS, voz, OTP, Microsoft Authenticator, Windows Hello e FIDO2.

Fase 2 - piloto

Escolha usuários de TI e pessoas capazes de fornecer feedback rápido.

Fase 3 - contas privilegiadas

Registre métodos fortes antes de aplicar enforcement.

Fase 4 - grupos de negócio

Expanda por área ou perfil de dispositivo.

Fase 5 - retirada dos métodos antigos

Quando os usuários possuírem credenciais e recuperação adequadas, reduza dependência de métodos suscetíveis a phishing.

Como registrar passkeys sem depender da senha antiga?

O Microsoft Entra oferece o Temporary Access Pass, conhecido como TAP. Trata-se de uma credencial temporária que pode ser configurada para uso único ou múltiplas entradas durante um período definido.

O TAP pode ser utilizado para bootstrap de métodos passwordless. Isso é especialmente útil em onboarding, substituição de dispositivo ou recuperação controlada, porque o usuário pode autenticar temporariamente e registrar um novo método forte.

Fonte: Microsoft Learn - Temporary Access Pass

Temporary Access Pass é uma passkey?

Não.

TAP é uma credencial temporária utilizada para permitir determinadas etapas de bootstrap ou recuperação. O objetivo é ajudar o usuário a registrar um método passwordless permanente.

Depois da configuração, a passkey passa a ser utilizada no fluxo normal.

O que acontece se o usuário perder o celular?

Esse cenário precisa ser desenhado antes da implantação.

A recuperação pode depender de:

• outra passkey registrada;
• chave de segurança reserva;
• outro dispositivo compatível;
• Temporary Access Pass fornecido através de processo validado;
• procedimento de help desk com comprovação de identidade.

O ponto crítico é evitar que uma recuperação fraca destrua a segurança de uma autenticação forte.

Por que help desk vira parte da segurança?

Porque quando métodos resistentes a phishing ficam mais difíceis de roubar remotamente, atacantes podem tentar atacar o processo de recuperação.

Um criminoso pode ligar para o suporte e afirmar:

“Troquei de telefone e perdi meu autenticador. Preciso recuperar a conta agora.”

Se o suporte simplesmente desativar métodos fortes e cadastrar um novo telefone após uma validação fraca, o processo de recuperação se transforma no elo mais vulnerável.

A empresa precisa definir:

• quem pode resetar;
• como identidade é validada;
• quais logs são gerados;
• quando supervisor participa;
• como métodos antigos são removidos;
• quanto tempo credenciais temporárias permanecem válidas.

Passkey elimina a senha completamente?

Pode permitir uma experiência passwordless, mas uma migração corporativa nem sempre elimina todas as senhas no mesmo dia. Sistemas legados, protocolos antigos, aplicações locais e fluxos de recuperação podem continuar dependendo de credenciais tradicionais durante determinado período.

Por isso, o objetivo deve ser reduzir progressivamente a superfície em que senhas continuam necessárias, especialmente nas contas e serviços mais críticos.

E sistemas que não suportam passkeys?

A empresa precisa mapear a dependência antes da migração.

Algumas aplicações podem utilizar:

• federação;
• Single Sign-On;
• Microsoft Entra ID;
• protocolos modernos;
• autenticação própria;
• sistemas legados.

Uma política de passwordless no Microsoft Entra não transforma automaticamente um software antigo em aplicação compatível. Modernização de identidade e modernização de aplicações podem precisar caminhar juntas.

Passkeys substituem Conditional Access?

Não.

Passkey responde principalmente à pergunta:

“Como este usuário provou sua identidade?”

Conditional Access pode avaliar um contexto maior:

• usuário;
• grupo;
• aplicativo;
• risco;
• dispositivo;
• localização;
• força de autenticação;
• outras condições suportadas.

A arquitetura mais forte combina credencial resistente a phishing com políticas de acesso proporcionais ao risco.

Aprofunde neste conteúdo:
Microsoft Entra ID: por que identidade virou um novo perímetro de segurança corporativa

Passkeys eliminam phishing?

Não.

Elas reduzem fortemente uma categoria importante de ataque: roubo ou retransmissão remota da credencial utilizada para autenticação.

Atacantes ainda podem tentar:

• roubar sessão;
• infectar dispositivo;
• enganar o usuário para executar uma ação;
• abusar de aplicativos OAuth;
• explorar recuperação de conta;
• comprometer endpoint;
• obter privilégios por outra vulnerabilidade.

Identidade resistente a phishing é uma camada crítica, não a estratégia completa de segurança.

Uma passkey protege contra MFA fatigue?

Ela reduz dependência de determinados fluxos de aprovação por push que podem ser explorados através de bombardeio de solicitações. Em uma autenticação FIDO2, o usuário interage com a credencial vinculada ao serviço legítimo em vez de apenas aprovar uma notificação inesperada.

A própria Microsoft colocou passkeys e outros métodos resistentes a phishing no centro da Secure Future Initiative, tratando MFA resistente a phishing como uma nova linha de base de segurança. Fonte: Microsoft Learn - Secure Future Initiative e MFA resistente a phishing

Passkeys ajudam a proteger Microsoft 365?

Sim, quando o Microsoft Entra é a camada de identidade utilizada para os recursos correspondentes. A proteção da conta melhora o acesso a serviços como Outlook, Teams, SharePoint, OneDrive e demais aplicações integradas à identidade corporativa.

Entretanto, a organização também precisa proteger:

• sessões;
• dispositivos;
• permissões;
• aplicativos;
• consentimentos OAuth;
• administradores;
• dados.

Autenticação forte é o começo do controle de acesso, não o fim.

Análise técnica - Eduardo Neto

Passkeys não deveriam ser implantadas apenas porque a Microsoft começou a incentivar a migração. Primeiro precisamos entender como a empresa autentica hoje: quais usuários ainda dependem de SMS, quais dispositivos são corporativos, quem possui privilégio administrativo, quais aplicações dependem de senha e qual processo existe quando alguém perde o celular ou a chave. A credencial pode ser extremamente forte, mas uma migração sem inventário e recuperação bem definidos consegue criar bloqueios, chamados e exceções que acabam levando a equipe de volta para métodos mais fracos.

 

O segundo ponto é não tratar todos os usuários da mesma forma. Podemos permitir uma experiência mais conveniente para colaboradores comuns e exigir métodos associados ao dispositivo ou chaves FIDO2 para administradores e acessos críticos. Microsoft Entra, Authentication Strengths, Conditional Access e Temporary Access Pass permitem construir essa transição em camadas. Segurança de identidade não é escolher o método mais forte disponível e aplicar para todos; é combinar força, risco, dispositivo, recuperação e operação de maneira que a empresa consiga sustentar.

 

- Eduardo Neto, CEO Cintra IT

Como criar um plano de migração para passkeys?

A migração pode ser organizada em cinco blocos: descoberta, desenho, piloto, enforcement e retirada dos métodos legados. Essa sequência evita o erro de habilitar uma tecnologia e considerar que o projeto foi concluído.

Descoberta

Identifique métodos atualmente registrados e quais usuários ainda dependem de SMS ou voz. Verifique administradores, convidados, dispositivos, sistemas legados e processos de recuperação.

Desenho

Defina quais tipos de passkey serão permitidos para cada grupo, quais contas exigirão resistência a phishing e quais mecanismos de contingência estarão disponíveis.

Piloto

Comece com usuários que consigam testar diferentes dispositivos, browsers, Authenticator, Windows e chaves físicas. Documente problemas antes da expansão.

Enforcement

Depois que os métodos estiverem registrados, utilize Authentication Strengths e Conditional Access onde fizer sentido para exigir autenticação resistente a phishing.

Retirada

Reduza gradualmente dependência de SMS, voz, OTP e senha nos contextos em que métodos mais fortes já estejam consolidados.

Casos de Sucesso - Cintra IT

Os exemplos abaixo são cenários ilustrativos, baseados em situações recorrentes de Microsoft Entra ID, Microsoft 365, passkeys, MFA e gestão de identidade. Não representam promessa de resultado, cliente real identificado ou garantia de desempenho. A proposta é mostrar como uma migração pode ser estruturada com risco proporcional ao perfil de cada usuário.

Checklist final para migrar a empresa para passkeys

• Inventarie os métodos atuais: identifique quem ainda depende de senha, SMS, voz e OTP;
• Priorize administradores: contas privilegiadas devem receber atenção antes da migração em massa;
• Escolha tipos de passkey: defina quando usar sincronizada, associada ao dispositivo, Windows Hello ou chave física;
• Configure perfis: utilize grupos e políticas do Microsoft Entra para separar requisitos;
• Planeje recuperação: defina Temporary Access Pass, autenticação reserva e validação do help desk;
• Execute um piloto: teste dispositivos, browsers, aplicativos e cenários reais antes de ampliar;
• Prepare Conditional Access: só exija resistência a phishing depois que os métodos compatíveis estiverem registrados;
• Comunique usuários: explique por que a experiência está mudando e como registrar a nova credencial;
• Monitore adoção: acompanhe quem ainda utiliza métodos antigos e onde existem falhas;
• Retire métodos fracos gradualmente: não mantenha SMS e senha indefinidamente apenas porque passkeys também foram habilitadas.

Perguntas frequentes sobre passkeys para empresas

O que são passkeys para empresas?

Passkeys são credenciais baseadas em padrões FIDO2 que utilizam criptografia de chave pública para autenticar usuários sem depender de uma senha reutilizável. Em empresas, podem ser usadas para proteger acessos corporativos com resistência a phishing e, conforme a plataforma, biometria, PIN, dispositivo ou chave de segurança.

Passkey é mais segura que senha com SMS?

Sim, em relação à resistência a phishing. Passkeys são vinculadas à origem legítima do serviço e não dependem de uma senha ou código temporário que possa ser digitado em uma página falsa. SMS continua sujeito a riscos que passkeys baseadas em FIDO2 foram projetadas para reduzir.

Microsoft Entra ID já suporta passkeys?

Sim. O Microsoft Entra ID oferece suporte a passkeys FIDO2 associadas a dispositivos, chaves de segurança, Microsoft Authenticator, passkeys no Windows e passkeys sincronizadas, conforme política e configuração da organização.

Microsoft vai acabar com autenticação por SMS e voz?

A Microsoft anunciou a aposentadoria da telefonia nativa fornecida pelo Microsoft Entra para SMS e voz. Desde 1º de setembro de 2026, usuários habilitados para esses métodos passaram a ser habilitados automaticamente para passkeys. A retirada da telefonia nativa começa em 1º de fevereiro de 2027 para a maioria dos usuários.

Passkeys substituem Windows Hello for Business?

Não necessariamente. Windows Hello for Business continua sendo uma solução recomendada para entrada em dispositivos corporativos gerenciados. O Microsoft Entra também permite passkeys FIDO2 armazenadas no contêiner local do Windows Hello em cenários específicos.

Como recuperar o acesso se o usuário perder a passkey?

A organização precisa planejar recuperação antes da implantação. No Microsoft Entra, Temporary Access Pass pode ser utilizado em determinados fluxos para bootstrap ou recuperação de métodos passwordless, além de outros métodos permitidos pela política da empresa.

Passkeys funcionam sem biometria?

Podem funcionar. Dependendo do autenticador, a chave privada pode ser liberada através de PIN ou outro mecanismo de verificação suportado. Biometria é uma possibilidade de verificação local, não uma exigência universal de toda passkey.

Preciso comprar chaves FIDO2 para todos os funcionários?

Não. Chaves físicas são apenas uma das opções. Empresas podem combinar Windows Hello, Microsoft Authenticator, passkeys sincronizadas e chaves de segurança conforme perfil de risco, dispositivos e política de autenticação.

Passkeys eliminam completamente senhas da empresa?

Não necessariamente de imediato. Sistemas legados e aplicações não integradas podem continuar dependendo de senha. A estratégia deve reduzir progressivamente essa dependência e priorizar os acessos mais críticos.

Passkeys impedem qualquer invasão de conta?

Não. Elas reduzem fortemente ataques baseados em phishing da credencial, mas comprometimento de sessão, malware, endpoint, aplicativos maliciosos, excesso de privilégios e recuperação de conta continuam sendo riscos que precisam de outras camadas de proteção.

Conclusão - passkeys transformam autenticação em uma camada mais resistente a phishing

Passkeys para empresas representam mais do que uma melhoria de conveniência. O principal avanço está em retirar da autenticação um segredo reutilizável que pode ser digitado em uma página falsa e substituí-lo por uma credencial criptográfica vinculada ao serviço legítimo.

Essa mudança ganhou urgência no ecossistema Microsoft. Desde 1º de setembro de 2026, usuários habilitados para SMS ou voz passaram a entrar no escopo automático de passkeys, enquanto a retirada da telefonia nativa começa em fevereiro de 2027. Empresas que ainda dependem fortemente de SMS têm uma janela clara para organizar a transição antes de transformar a mudança em projeto emergencial.

O planejamento precisa ir além de habilitar um método. A organização deve definir quais usuários podem utilizar passkeys sincronizadas, quais precisam de credenciais associadas ao dispositivo, onde chaves FIDO2 fazem sentido, como Windows Hello entra na arquitetura e quais aplicativos exigirão autenticação resistente a phishing.

Recuperação também precisa ser tratada como parte do projeto. Se o usuário perde a credencial e o help desk utiliza uma validação fraca para devolver acesso, toda a força criptográfica da passkey pode ser anulada por um processo operacional inseguro. Temporary Access Pass e procedimentos de comprovação de identidade precisam ser documentados antes dos primeiros incidentes.

O resultado mais maduro é uma estratégia em camadas: métodos mais convenientes onde o risco permite, credenciais associadas ao dispositivo para perfis mais sensíveis e forças de autenticação resistentes a phishing nos recursos em que o impacto de comprometimento é maior.

Na visão da Cintra IT, passkeys devem fazer parte de uma arquitetura maior de identidade. A Solução em TI pode conectar Microsoft Entra ID, Microsoft 365, Conditional Access, dispositivos, autenticação, recuperação e governança para que a empresa migre de métodos suscetíveis a phishing sem perder controle operacional.

Como a Cintra IT pode apoiar sua empresa?

A Cintra IT pode apoiar empresas que precisam entender como a mudança de SMS e voz no Microsoft Entra afeta sua operação e estruturar a adoção de passkeys sem criar bloqueios ou métodos de recuperação inseguros. O trabalho pode começar com inventário dos métodos atuais, contas administrativas, dispositivos e políticas antes da migração dos usuários.

Passkeys dentro da Solução em TI

• Auditoria dos métodos de autenticação do Microsoft Entra;
• Identificação de usuários dependentes de SMS e voz;
• Planejamento de passkeys FIDO2;
• Configuração de perfis de passkey;
• Planejamento de Microsoft Authenticator e chaves FIDO2;
• Integração com Windows Hello for Business;
• Estruturação de Temporary Access Pass;
• Configuração de Authentication Strengths;
• Planejamento de Conditional Access;
• Migração por grupos e criticidade.

Integração entre identidade, dispositivos, recuperação e segurança

• Priorizar contas administrativas e acessos sensíveis;
• Definir métodos compatíveis com o risco de cada perfil;
• Separar passkeys sincronizadas de credenciais associadas ao dispositivo quando necessário;
• Planejar contingência para perda ou troca de dispositivos;
• Fortalecer processo de recuperação do help desk;
• Reduzir dependência de SMS, voz e códigos temporários;
• Integrar políticas de identidade ao gerenciamento de dispositivos;
• Monitorar registro e utilização dos métodos;
• Documentar contas de emergência e procedimentos críticos;
• Revisar continuamente métodos que ainda permanecem suscetíveis a phishing.