Passkey Index 2026: um terço dos inícios de sessão sem palavra-passe, e uma grelha para lá chegar

A 15 de outubro de 2026, na abertura da sua conferência Authenticate, a FIDO Alliance publicou a segunda edição do seu Passkey Index e reviu a sua estimativa mundial: cerca de 7 mil milhões de passkeys estão agora em utilização, contra os 5 mil milhões anunciados em maio. Por detrás do número impressionante, o interesse do relatório está noutro lado: quinze grandes serviços dirigidos ao público, incluindo bancos, aplicações de mensagens, operadores de telecomunicações e plataformas de pagamento, partilharam os seus dados reais de início de sessão. Para uma equipa de produto, é a primeira vez que se pode comparar o que as passkeys prometem com o que entregam em grande escala.

O que dizem os números

Mais de um início de sessão bem-sucedido em cada três passa por uma passkey: 36% em média entre os participantes, contra 26% na edição de 2025.
As passkeys têm mais êxito: 93% das tentativas são bem-sucedidas, contra 78% para palavras-passe e autenticação multifator tradicional, códigos SMS incluídos. São quase três vezes mais rápidas e poupam em média 27 segundos por início de sessão.
A elegibilidade é quase total: 90% das contas ativas podem criar uma passkey, e 42% das contas elegíveis já têm uma, ou seja, cerca de 38% de todas as contas.
A diferença entre adesão e utilização está a fechar-se: 38% de contas equipadas para 36% dos inícios de sessão, contra 34% e 26% no ano passado.
O benefício de segurança é finalmente medido: os oito participantes que acompanham o phishing registam menos ataques bem-sucedidos desde a implementação, e os quatro que partilharam custos veem a fatura de códigos SMS a descer.
O passo seguinte já está escrito: nove participantes em treze tencionam oferecer contas sem qualquer palavra-passe nos próximos doze meses.

A própria FIDO Alliance indica os limites: as médias não são ponderadas, pelo que um serviço pequeno pesa tanto como uma plataforma global, e o painel passou de nove para quinze participantes, o que torna a comparação com 2025 indicativa e não estrita. As ordens de grandeza, porém, convergem.

O verdadeiro travão já não é técnico

O relatório aponta uma causa precisa para o desfasamento entre contas equipadas e inícios de sessão efetivos: dois participantes reconhecem que o seu percurso ainda propõe a palavra-passe ou um código antes da passkey, mesmo aos utilizadores que já têm uma. Por outras palavras, a tecnologia está pronta, os navegadores e os sistemas suportam-na, mas o ecrã de início de sessão continua a empurrar o método antigo. Ora, o ganho de segurança de uma passkey desaparece enquanto uma palavra-passe sujeita a phishing continuar a ser aceite na mesma conta. É uma questão de desenho do percurso, logo uma decisão de produto, não uma obra de infraestrutura.

A grelha FIDO: quatro níveis para a autoavaliação

Para ajudar as equipas a dar este passo, a FIDO Alliance publica no Passkey Central uma grelha de avaliação em quatro patamares cumulativos. Trata-se de uma ferramenta de autodiagnóstico, não de uma certificação.

Bronze, a base funcional: várias passkeys permitidas por conta para evitar bloqueios, um ecrã de gestão visível, alternativas de recurso explícitas e um vocabulário coerente.
Prata, o objetivo recomendado no lançamento: preenchimento automático no campo de início de sessão, convite para criar uma passkey no momento certo, tratamento de erros e acessibilidade.
Ouro: conversão automática de uma palavra-passe guardada em passkey após um início de sessão bem-sucedido, com notificação, integração da Signal API para remover passkeys que deixaram de ser válidas, e recuperação de conta proporcional ao risco.
Platina: retirada dos fatores sujeitos a phishing, palavras-passe e códigos SMS, e alinhamento entre os diferentes domínios de uma mesma marca.

A grelha enumera também os erros frequentes: a janela bloqueante que força a criação de uma passkey, o limite de uma única passkey por conta, ou a conversão silenciosa sem avisar o utilizador.

Quem está abrangido

Qualquer serviço que autentica pessoas: portal de clientes, área de associados, aplicação de negócio interna, ferramenta SaaS. Os decisores encontram aqui um argumento quantificado sobre custos de SMS e fraude; as equipas de produto, um roteiro legível; as equipas de segurança, uma prova no terreno da resistência ao phishing. As organizações que implementam passkeys para os seus colaboradores dispõem agora de uma secção dedicada no Passkey Central, com um guia de implementação e casos documentados.

Por onde começar

Meça três indicadores: percentagem de contas elegíveis, percentagem de contas equipadas, percentagem de inícios de sessão bem-sucedidos por passkey. Sem estes números, nenhuma decisão é defensável.
Posicione-se na grelha. As duas falhas que a própria grelha assinala como mais comuns são o limite de uma única passkey por conta e a ausência de um ecrã de gestão.
Faça da passkey o caminho por defeito para quem já tem uma, com o preenchimento automático do navegador. É aí que se decide a diferença entre 38% e 36%.
Prepare a conta sem palavra-passe para os públicos que estão prontos, começando pelas contas de alto risco, e defina a recuperação antes de retirar o recurso de emergência.
Orçamente a redução de SMS: é muitas vezes a rubrica que financia o projeto.

Acompanhamos as equipas de produto e técnicas neste diagnóstico e no desenho do percurso, da base bronze à conta sem palavra-passe. Falemos do seu percurso de início de sessão.