Passkeys sem bloqueios: desenhar registo, segundo dispositivo e recuperação
WebAuthn usa credenciais de chave pública limitadas ao relying party e mediadas pelo autenticador. A segurança melhora contra phishing, mas a implantação falha quando a equipa trata recuperação, dispositivos perdidos e mudança de domínio como detalhes posteriores.
- Natureza
- Guia técnico baseado em W3C WebAuthn e NIST Digital Identity Guidelines
- Estado
- WebAuthn Level 3 é Candidate Recommendation, não Recommendation final
- Publicado e verificado
- 3 de agosto de 2026
- Limite
- Níveis de garantia e requisitos legais dependem do serviço e do risco
Em resumo
Uma passkey pode ser sincronizada ou permanecer num único autenticador, e esse modelo altera recuperação e garantia. O serviço deve permitir mais do que uma credencial, mostrar sessões e autenticadores, testar browsers e plataformas, proteger a adição de novos métodos e manter uma recuperação proporcional. Nunca rebaixe silenciosamente uma conta protegida para um canal mais fraco sem prova e notificação.
- WebAuthn mantém a chave privada no autenticador e vincula a credencial ao relying party.
- Credenciais sincronizáveis melhoram continuidade, mas exigem compreender o ecossistema de sincronização.
- A recuperação de conta é uma cerimónia de alto risco e deve ter evidência, atraso ou revisão proporcional.
- Registe pelo menos duas credenciais para funções críticas e teste perda total do dispositivo.
Passkey descreve uma experiência; WebAuthn define a cerimónia
O WebAuthn permite criar e usar credenciais de chave pública limitadas ao relying party. O browser e o autenticador mediam consentimento, presença e, quando exigida, verificação do utilizador.
Level 3 permanece Candidate Recommendation. Funcionalidades novas devem ser detetadas por capacidade, com fallback testado, sem assumir suporte uniforme.
Jornada que deve funcionar
- REGISTOCriar primeira credencial
Explicar dispositivo, sincronização, nome e método alternativo.
- REFORÇOAdicionar segunda
Proteger o ato com autenticação recente e notificação.
- ENTRADAAutenticar
Validar challenge, origem, RP ID, assinatura e flags.
- GESTÃORever dispositivos
Permitir nomear, revogar e ver última utilização.
- RECUPERAÇÃORecuperar sem rebaixar
Aplicar prova, risco, espera e alerta proporcionais.
Testar a conta completa, não apenas o happy path
Crie uma matriz de plataformas e falhas com dados de teste. Meça conclusão, abandono, recuperação e suporte sem registar material biométrico ou segredos.
Casos mínimos de aceitação
| Caso | Risco | Resultado esperado |
|---|---|---|
| Novo dispositivo | Sem credencial local | Autenticação cruzada ou método forte alternativo |
| Dispositivo perdido | Bloqueio ou apropriação | Recuperação verificada e revogação |
| Conta partilhada | Atribuição impossível | Credenciais individuais; não partilhar autenticador |
| Mudança de domínio | RP ID incompatível | Plano de migração e período controlado |
| Suporte parcial | Browser sem capacidade | Fallback explícito, mensurável e seguro |
Lançar por coorte e medir recuperação
Comece por utilizadores internos e contas de menor impacto, mantendo opção segura de retorno. Para administradores, exija credenciais redundantes e processo de recuperação assistido.
Proteja a adição ou remoção de autenticadores com autenticação recente, notificação fora da sessão e registo de auditoria.
- Usar challenges imprevisíveis, de uso único e com expiração.
- Validar origem e RP ID no servidor.
- Nunca guardar chaves privadas ou dados biométricos no serviço.
- Medir taxa de sucesso por plataforma e causa de fallback.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01Web Authentication Level 3 — Candidate RecommendationW3C · SYS-W3C
- 02WebAuthn Level 3 publication historyW3C · SYS-W3C
- 03Web Authentication Level 2 — RecommendationW3C · SYS-W3C
- 04NIST SP 800-63B-4 — Authentication and Authenticator ManagementNIST CSRC · CY-NISTCSRC
- 05NIST SP 800-63-4 — Digital Identity GuidelinesNIST CSRC · CY-NISTCSRC
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.