Autenticação em dois fatores e passkeys: o que são e como ativar em 2026

Já recebeste um aviso do género «alguém tentou entrar na tua conta» ou um código de seis dígitos que não pediste? Isso acontece porque as palavras-passe, sozinhas, já não chegam. Uma palavra-passe pode ser roubada num site mal protegido, adivinhada ou entregue por engano numa página falsa. A autenticação em dois fatores (2FA) acrescenta uma segunda prova de que és tu, e as passkeys vão mais longe: eliminam a palavra-passe da equação.

Neste guia explicamos, sem jargão, o que são o 2FA e as passkeys, que método escolher e como ativar nas contas que mais importam: Google, WhatsApp, Instagram, Facebook, Apple, Microsoft e banco. No fim há um passo a passo de 20 minutos e respostas às dúvidas mais comuns.

Resposta rápida

• O que é o 2FA: uma segunda confirmação, além da palavra-passe, para entrares numa conta.
• O que são passkeys: uma forma de entrar com a impressão digital, o rosto ou o código do telemóvel, sem palavra-passe e sem códigos para copiar.
• Qual escolher: passkey sempre que o serviço a ofereça; se não, uma app autenticadora; o SMS fica como último recurso.
• Por onde começar: o teu e-mail principal, porque é com ele que se recuperam todas as outras contas.
• O que guardar: os códigos de recuperação, num sítio seguro e fora do telemóvel.

O que é a autenticação em dois fatores

O 2FA combina duas de três coisas: algo que sabes (a palavra-passe), algo que tens (o telemóvel ou uma chave física) e algo que és (a impressão digital ou o rosto). Quando alguém rouba a tua palavra-passe, ainda lhe falta o segundo elemento. Por isso a maioria dos ataques simples falha.

Não é uma proteção perfeita, mas muda o jogo. Os serviços principais, como a Google e a Microsoft, afirmam há anos que ativar uma segunda verificação bloqueia a esmagadora maioria dos ataques automáticos a contas. O que muda de método para método é a força dessa segunda prova.

Os métodos de segundo fator, do mais fraco ao mais forte

O que são passkeys e porque são diferentes

Uma passkey é uma credencial criada no teu dispositivo para um serviço específico. Em vez de uma palavra-passe, o dispositivo guarda uma chave privada que nunca sai dele e o serviço guarda a chave pública correspondente. Para entrares, o telemóvel ou o computador pede-te a impressão digital, o rosto ou o código de desbloqueio, e prova ao serviço que tens a chave. Não há nada para copiar, nada para adivinhar e nada para roubar numa fuga de dados.

A grande vantagem é que as passkeys resistem ao phishing. A credencial só funciona no endereço verdadeiro do serviço. Se clicares numa página falsa que imita o banco ou a Google, o teu dispositivo simplesmente não oferece a passkey. O padrão por trás chama-se FIDO2 e é apoiado por empresas como a Google, a Apple e a Microsoft.

As passkeys podem ficar guardadas no telemóvel, no gestor de palavras-passe do sistema (como o Porta-chaves do iCloud ou o Gestor de Palavras-passe da Google) ou em gestores de terceiros. Convém saber onde estão guardadas: se mudares de telemóvel, é aí que as recuperas.

Como ativar nas contas que mais importam

Os nomes dos menus mudam com as atualizações, mas o caminho é quase sempre o mesmo: definições da conta, depois segurança, depois verificação em dois passos ou autenticação de dois fatores.

Conta Google

Abre a tua Conta Google, entra em Segurança e procura Verificação em dois passos. Ativa-a e, na mesma secção, cria uma passkey para o telemóvel ou o computador. Como o Gmail é a porta de entrada de muitas outras contas, começa por aqui.

WhatsApp

No WhatsApp, vai a Definições, Conta, Verificação em dois passos e define um PIN de seis dígitos. Acrescenta um e-mail de recuperação. O WhatsApp passa a pedir esse PIN de vez em quando e sempre que registares o número num telemóvel novo. É a defesa mais eficaz contra quem tenta roubar a tua conta com o código de registo.

Instagram e Facebook

Entra no Centro de Contas, depois em Palavra-passe e segurança e em Autenticação de dois fatores. Escolhe a conta e prefere a opção da app autenticadora ao SMS. Guarda os códigos de recuperação que a plataforma mostra.

Apple

Nas contas Apple mais recentes, a autenticação de dois fatores já vem ativa. Confirma em Definições, o teu nome, Início de sessão e segurança. Se o iPhone te sugerir criar uma passkey ao entrar num site, aceita: fica guardada no Porta-chaves do iCloud e sincroniza com os teus dispositivos Apple.

Conta Microsoft

Na tua conta Microsoft, abre Segurança e depois as opções avançadas de segurança. Podes usar a Microsoft Authenticator, uma chave de segurança ou uma passkey. O Windows Hello (rosto, impressão digital ou PIN) também funciona como passkey no computador.

Banco e MB Way

Os bancos portugueses e brasileiros já exigem uma confirmação forte para operações, normalmente na própria app. Garante que a app do banco está atualizada, que o telemóvel tem bloqueio de ecrã e que nenhum código de operação é partilhado com ninguém, nem por telefone nem por mensagem. Um funcionário do banco nunca te pede esses códigos.

Códigos de recuperação: guarda-os antes de precisares

Quando ativas o 2FA, a maioria dos serviços oferece uma lista de códigos de recuperação. São o plano B se perderes o telemóvel. Imprime-os ou guarda-os num cofre de palavras-passe, nunca na galeria de fotos nem numa nota sem proteção. Sem eles, recuperar uma conta pode demorar semanas.

Erros comuns que anulam a proteção

• Aprovar avisos sem ler. Se recebes pedidos de aprovação que não iniciaste, alguém tem a tua palavra-passe. Recusa e muda-a de imediato.
• Partilhar o código. Nenhum serviço legítimo te pede o código de seis dígitos por mensagem ou chamada. Quem pede é burlão.
• Usar só SMS. Se o teu número for desviado para outro cartão SIM, o atacante recebe os teus códigos. Prefere uma app autenticadora.
• Só proteger o e-mail com palavra-passe. Quem controla o teu e-mail pode pedir a recuperação de todas as outras contas.
• Não ter um segundo caminho. Uma só passkey, num só telemóvel, é um risco. Guarda também os códigos de recuperação ou regista uma segunda chave.

Passo a passo recomendado em 20 minutos

1. Escolhe uma app autenticadora e instala-a no telemóvel.
2. Ativa o 2FA no teu e-mail principal e cria uma passkey, se estiver disponível.
3. Repete nas contas ligadas a dinheiro: banco, PayPal, compras online e Apple ou Google.
4. Ativa nas redes sociais e no WhatsApp, com PIN de seis dígitos e e-mail de recuperação.
5. Guarda os códigos de recuperação num cofre de palavras-passe ou impressos.
6. Confirma, em cada conta, que o número de telemóvel e o e-mail de recuperação estão atualizados.
7. Daqui a um mês, volta a abrir a lista de dispositivos com sessão iniciada e remove os que não reconheces.

E se eu perder o telemóvel

Se perderes o telemóvel, bloqueia primeiro o cartão SIM junto do operador e usa o serviço de localização do sistema (Encontrar o meu dispositivo, na Google, ou Encontrar, na Apple) para o bloquear. Depois, a partir de outro aparelho, entra na conta com os códigos de recuperação, remove o telemóvel perdido da lista de dispositivos e muda as palavras-passe principais. Se tinhas as passkeys sincronizadas na conta Google ou iCloud, elas ficam disponíveis no telemóvel novo depois de iniciares sessão.

Passkeys ou 2FA: qual escolher?

A resposta prática é: as duas, por ordem. Se o serviço oferece passkey, usa-a, porque é mais segura e mais cómoda. Se não oferece, ativa o 2FA com app autenticadora. Se só houver SMS, usa SMS, que é melhor do que nada, e volta a verificar daqui a uns meses se já há uma opção melhor. Em todas as contas, mantém palavras-passe longas e diferentes entre si.

Para a casa e a família, vale a pena ligar este passo à proteção do resto do equipamento. O nosso guia de proteção do computador e o de controlo parental ajudam a completar o quadro.

As passkeys em 2026: já não são uma novidade

Há poucos anos, falar de passkeys era falar de tecnologia de nicho. Hoje, a Apple, a Google e a Microsoft suportam o padrão da FIDO Alliance nos seus sistemas, e cada vez mais serviços de uso diário oferecem a opção de entrar sem palavra-passe. A própria FIDO Alliance dá destaque a números recentes de adoção: entre as notícias que lista está a de que a Amazon já teria mais de 500 milhões de clientes a usar passkeys. Em 2025, a Microsoft anunciou também que ia tornar as passkeys a opção predefinida nas contas novas.

Isto não significa que as palavras-passe tenham desaparecido. Na prática, vais viver durante anos num modelo misto: algumas contas já aceitam passkeys, outras só aceitam palavra-passe com segundo fator. Por isso, o objetivo realista para 2026 é simples: ter pelo menos um segundo fator forte nas contas importantes e trocar para passkey sempre que o serviço o permitir.

Ordem de prioridade: que contas proteger primeiro

Se não tens tempo para fazer tudo num dia, segue esta ordem. Quanto mais uma conta consegue recuperar ou aceder a outras, mais cedo deve ser protegida.

• E-mail principal. É a chave-mestra: quem a controla pode pedir a recuperação de quase todas as outras contas.
• Conta Google, Apple ou Microsoft. Guardam fotografias, contactos, cópias do telemóvel e, muitas vezes, as tuas passkeys.
• Banco, MB WAY e pagamentos. Muitas apps bancárias já têm confirmação própria, mas confirma se está ativa e se o limite de operações está adequado.
• Redes sociais e WhatsApp. São o alvo preferido de quem se faz passar por ti para pedir dinheiro aos teus contactos.
• Lojas online e serviços de subscrição. Guardam cartões e moradas e permitem compras em teu nome.
• Conta do operador de telemóvel. Quem controla o teu número pode receber os códigos por SMS de todas as outras contas.

Onde guardar as passkeys e as palavras-passe

Uma passkey vive num gestor, e a escolha do gestor decide em que aparelhos a consegues usar. As opções mais comuns são o Porta-chaves do iCloud (Apple), o Gestor de Palavras-passe da Google, o Windows Hello e gestores independentes como o 1Password ou o Bitwarden.

• Se só usas aparelhos Apple, o Porta-chaves do iCloud é a opção mais simples.
• Se usas Android e Chrome, o Gestor de Palavras-passe da Google sincroniza tudo com a tua conta.
• Se misturas Windows, Android e iPhone, um gestor independente evita ficares preso a um só ecossistema.
• Seja qual for a escolha, ativa também o segundo fator na conta do próprio gestor: é onde está tudo.

Evita guardar palavras-passe no bloco de notas, num ficheiro solto ou numa fotografia. Se alguém aceder a esse sítio, fica com tudo de uma só vez.

SIM swap: porque é que o SMS é o elo mais fraco

Num SIM swap, um burlão convence o operador a transferir o teu número para um cartão SIM que ele controla. A partir daí, recebe os teus SMS, incluindo os códigos de verificação. Não precisa de ter o teu telemóvel: precisa só de enganar um balcão ou uma linha de apoio.

Por isso, o SMS deve ser a última opção e nunca a única. Se és obrigado a usá-lo, pede ao teu operador para ativar um PIN ou uma palavra de segurança na conta e desconfia se o telemóvel ficar de repente sem rede sem motivo aparente. Sempre que possível, troca para uma app autenticadora ou para uma chave de segurança.

Trocar de telemóvel sem ficar à porta

O momento mais perigoso para o 2FA é a troca de telemóvel, porque é quando muita gente descobre que o autenticador estava só no aparelho antigo. Antes de trocar, faz esta verificação rápida:

• Confirma que a app autenticadora tem cópia de segurança ou que sabes exportar as contas para o aparelho novo.
• Mantém o telemóvel antigo ligado e funcional até testares todas as contas importantes no novo.
• Verifica que os códigos de recuperação continuam guardados num sítio seguro, fora do telemóvel.
• Em cada conta, confirma se as passkeys foram sincronizadas; se não, cria-as de novo no aparelho novo.
• Só depois de tudo testado, limpa o telemóvel antigo.

O 2FA não te protege de tudo

Um segundo fator reduz muito o risco, mas não resolve todos os golpes. Se receberes uma mensagem a pedir o código que acabaste de receber, ou a mandar-te para uma página falsa, o código pode ser reencaminhado em tempo real ao burlão. Regra de ouro: um código de verificação é tão pessoal como a palavra-passe e nenhum serviço legítimo o pede por telefone, SMS ou chat. As passkeys ajudam justamente aqui, porque só funcionam no site verdadeiro.

Perguntas frequentes

O 2FA torna a minha conta impossível de invadir?

Não. Torna o ataque muito mais difícil, mas nenhum método é infalível. Os riscos que restam são as páginas falsas que pedem o código na hora, os avisos aprovados por engano e o desvio do cartão SIM. As passkeys reduzem os dois primeiros.

As passkeys substituem as palavras-passe?

Em muitos serviços, sim. Mas ainda há sites sem suporte, por isso as palavras-passe vão continuar durante algum tempo. O ideal é usar passkeys onde existirem e um gestor de palavras-passe no resto.

E se eu mudar de telemóvel?

As passkeys guardadas na conta Google, na conta Apple ou num gestor de palavras-passe sincronizam com o telemóvel novo. As apps autenticadoras exigem uma transferência; antes de trocar de telemóvel, usa a função de exportar ou de transferir contas da própria app, ou volta a configurar cada conta com os códigos de recuperação.

É preciso pagar por alguma coisa?

Não para o essencial. O 2FA e as passkeys das grandes plataformas são gratuitos. Só as chaves de segurança físicas têm custo, e são opcionais.

O WhatsApp pede um PIN que não me lembro. O que faço?

Se tiveres configurado um e-mail de recuperação, o WhatsApp envia um link para repor o PIN. Sem e-mail, só é possível repor o PIN passado um período de espera. Por isso convém sempre acrescentar o e-mail.

Posso desativar o SMS depois de ativar a app autenticadora?

Sim, e é aconselhável quando o serviço o permite, porque remove o método mais fraco. Antes de o fazer, confirma que guardaste os códigos de recuperação e que a app autenticadora está com cópia de segurança.

As passkeys funcionam em computadores partilhados?

Sim, mas com cuidado. Muitos sistemas permitem usar a passkey do telemóvel para entrar num computador alheio, lendo um código QR e confirmando com a tua biometria no telemóvel. Assim, nada fica guardado no computador. Evita guardar passkeys em aparelhos de que não és o único utilizador.

O 2FA torna-me imune a burlas?

Não. Reduz bastante o risco de alguém entrar na tua conta só com a palavra-passe, mas não impede que sejas enganado a entregar um código ou a aprovar um pedido de acesso. Desconfia sempre de pedidos inesperados.

Fontes: FIDO Alliance: passkeys; Ajuda da Conta Google; Centro Nacional de Cibersegurança (CNCS). Os nomes dos menus podem variar com as versões das aplicações. Informação sobre passkeys: FIDO Alliance e documentação da Apple, Google e Microsoft (consultadas a 24 de outubro de 2026).