Se fizer apenas uma coisa em todo este site, faça esta. Todas as outras medidas aqui reduzem o risco na margem; esta elimina uma categoria inteira de ataque, e é a categoria que realmente acontece a quem faz este trabalho. Custa menos do que um par de sapatos e leva uma tarde.
01Porque é que um código pode ser roubado e uma chave não
Já viu o ataque, mesmo que não tenha funcionado consigo. Um email ou mensagem diz que há um problema com a sua conta. O link vai para uma página que é uma cópia ao pixel do login real. Introduz a sua palavra-passe. Pede o código do autenticador. Também o introduz.
Nos bastidores, o servidor do atacante está a iniciar sessão no site real no mesmo momento, retransmitindo tudo o que escreve, em tempo real. O seu código era genuíno. Era válido durante trinta segundos. Simplesmente escreveu-o na janela errada, e trinta segundos são mais do que suficientes.
Uma aplicação gera um número a partir de um segredo partilhado e de um relógio. Não faz ideia de que site está a ver, por isso não consegue distinguir uma página de login real de uma cópia. O código não é a fraqueza, o olho humano é. Qualquer defesa que dependa de detetar um domínio falso acabará por falhar, porque os falsos são muito bons e você estará cansado.
Uma chave de segurança funciona de forma diferente. Quando a registra num site, ela armazena um segredo ligado ao domínio real desse site. No início de sessão, o site envia um desafio; a chave assina-o, mas só depois de verificar que o domínio que pede corresponde ao domínio com que foi registada. Um domínio parecido faz o pedido, e a chave simplesmente não responde. Não há nada para retransmitir, nada para escrever e nada que possa correr mal por sua causa.
A Google transferiu toda a sua força de trabalho — dezenas de milhares de pessoas — para chaves de segurança e relatou zero tomadas de conta bem-sucedidas por phishing de contas de funcionários depois disso. É a evidência mais forte em segurança de consumidores para qualquer medida isolada, e é por isso que este guia é o primeiro e não o quinto.
02O que está na chave
Uma YubiKey 5 não é uma só coisa. São vários dispositivos de segurança independentes no mesmo pedaço de plástico, e a maioria das pessoas usa um deles e nunca sabe que os restantes existem. Aqui está tudo, em termos simples.
| Funcionalidade | Usar? | Para que serve |
|---|---|---|
| FIDO2 / WebAuthn | Sim, é este | O padrão moderno. Início de sessão à prova de phishing e a base das passkeys. É o que vai usar no Google, Microsoft, GitHub, Cloudflare, Proton e na maioria das coisas que importam. |
| Passkeys (chaves residentes) | Sim | O mesmo, mas a chave também armazena a identidade da conta, para que você possa fazer login sem digitar um nome de usuário ou senha. O armazenamento é limitado — veja a nota abaixo. |
| U2F | Automático | A versão mais antiga da mesma ideia. Ainda usada por alguns sites; a chave lida com isso sem que você precise escolher. |
| OATH-TOTP | Situacional | Armazena seus códigos comuns de seis dígitos na chave em vez de em um aplicativo de celular, lidos pelo Yubico Authenticator. Útil para sites que não suportam FIDO2. Ainda é um código e ainda é phishingável, ele protege o segredo, não o login. |
| Challenge-response (HMAC-SHA1) | Sim, com KeePassXC | Faz com que seu banco de dados de senhas exija a chave física para abrir. Coberto no guia do KeePassXC, este é o pareamento que torna ambas as ferramentas substancialmente mais fortes. |
| PIV / smart card | Avançado | Armazena certificados. Usado para chaves SSH que não podem ser copiadas do dispositivo, e para alguns sistemas corporativos e governamentais. |
| OpenPGP | Avançado | Mantém chaves GPG no hardware, para que a assinatura e a desencriptação aconteçam na chave e a chave privada nunca toque no seu computador. |
| Yubico OTP | Raramente | Um esquema legado de palavra-passe de uso único anterior ao FIDO. Alguns serviços mais antigos usam-no. Deixe-o em paz a menos que algo o peça. |
| Palavra-passe estática | No | Escreve uma string fixa quando toca na chave. Uma funcionalidade de conveniência de outra era. Não a use para nada que importe. |
As chaves residentes, as que permitem iniciar sessão sem nome de utilizador, ocupam slots permanentes no dispositivo, e há um número fixo delas. O firmware mais antigo do YubiKey 5 guarda cerca de 25; o firmware recente guarda consideravelmente mais. Os registos comuns de segundo fator FIDO2 não são limitados desta forma, por isso pode adicionar uma chave a centenas de sites sem encher nada. Se ficar sem espaço, será por causa das passkeys, não do 2FA.
03Qual comprar
A decisão é sobretudo sobre a ficha na ponta e se quer as funcionalidades extra. Faça corresponder o conector ao seu telefone e ao seu computador, e se forem diferentes, compre um de cada em vez de andar com um adaptador que vai perder.
| Modelo | Melhor para | Notas |
|---|---|---|
| Série Security Key (as azuis) | A maioria das pessoas | Apenas FIDO2 e U2F, que é a parte de que precisa. Cerca de metade do preço de uma YubiKey 5. Se não vai usar PGP, PIV ou o emparelhamento com KeePassXC, esta é a recomendação honesta. |
| YubiKey 5 NFC | Computador USB-A + qualquer telefone | A chave com todas as funcionalidades. Encoste-a a um telefone para NFC, ligue-a a um portátil para USB. A escolha predefinida se quiser tudo na tabela acima. |
| YubiKey 5C NFC | Computador USB-C + qualquer telefone | Idêntica, com ficha USB-C. Muito provavelmente a certa se o seu portátil for recente. |
| YubiKey 5Ci | iPhone com Lightning | Tem USB-C e Lightning. Só é relevante para iPhones mais antigos; os mais recentes são USB-C e podem usar NFC de qualquer forma. |
| YubiKey 5 Nano | Deixe-no-laptop | Minúsculo, fica encaixado na porta permanentemente. Conveniente, e elimina o benefício da separação física: se o laptop for levado, a chave vai junto. |
| Série Bio | Espaços compartilhados | Impressão digital em vez de um PIN. Genuinamente agradável; mais caro; considere cuidadosamente se uma biometria é o desbloqueio adequado onde você vive, já que em muitas jurisdições você pode ser obrigado a fornecer uma impressão digital mais facilmente do que um PIN. |
Uma única chave é um ponto único de falha: perca-a e você pode ficar permanentemente bloqueado das suas próprias contas, o que é um tipo de desastre por si só. Registre as duas chaves em todas as contas, carregue uma e guarde a segunda em algum lugar fisicamente separado, uma gaveta em casa, um cofre, alguém de confiança. A segunda chave é o plano de backup, e custa menos do que a recuperação custaria.
Não de um anúncio em marketplace, não de segunda mão, não de presente de alguém que você não conhece bem. Uma chave de segurança é um dispositivo em que você vai confiar tudo; a cadeia de suprimentos faz parte do produto. O firmware da Yubico deliberadamente não é atualizável, o que é bom para resistência a adulteração e significa que uma chave comprometida nunca pode ser consertada, apenas substituída.
04Configurando, na ordem certa
A ordem importa. Comece pela conta que pode redefinir todas as outras, e certifique-se de que você não pode se bloquear no processo.
-
Comece pelo seu e-mail
Todas as outras contas que você possui são recuperadas por meio dela, o que a torna o alvo real. Vá para as configurações de segurança do seu provedor de e-mail e adicione ambas as chaves antes de tocar em qualquer outra coisa. Se o seu provedor de e-mail não oferece suporte a chaves de segurança, isso é um motivo para trocar de provedor, não um motivo para pular esta etapa.
-
Registre ambas as chaves ao mesmo tempo
Faça isso de uma só vez, em todas as contas. O modo de falha que as pessoas encontram é registrar uma chave agora e "adicionar a reserva depois" — o depois nunca chega, e então a primeira chave vai parar na máquina de lavar.
-
Guarde os códigos de recuperação adequadamente
Todo site fornece um conjunto de códigos de recuperação de uso único. Eles são um bypass completo da sua chave, então merecem o mesmo cuidado que a própria chave. Coloque-os no seu gerenciador de senhas, ou imprima-os e guarde-os em algum lugar fisicamente seguro. Não os fotografe e não os deixe em uma pasta de downloads.
-
Agora revise os métodos mais fracos
Se códigos por SMS ainda permanecem como alternativa, um SIM swap pode contornar a chave. Depois que ambas as chaves funcionarem, desative o SMS onde o serviço permitir. Mantenha um código de autenticador apenas onde você precisar dele como caminho de recuperação, proteja sua seed e códigos de recuperação no seu gerenciador de senhas, e nunca remova um método até ter testado as formas restantes de voltar a acessar.
-
Siga a lista em ordem
Depois do e-mail: seu gerenciador de senhas, se ele oferecer suporte a chaves, depois armazenamento em nuvem, depois contas de redes sociais nas quais você publica, depois qualquer coisa com um método de pagamento vinculado, depois hospedagem de código. Qualquer coisa que sobrar pode esperar por uma noite tranquila.
-
Teste a chave reserva antes de guardá-la
Saia da conta e entre novamente usando especificamente a chave de backup. Um backup não testado é um chute.
05Do que ele não protege você
Uma chave de segurança é o controle único mais forte disponível para uma pessoa comum, e ainda assim é limitada. Ela derrota phishing. Não derrota estes.
- Páginas de phishing, por mais convincentes que sejam, incluindo ataques de retransmissão em tempo real.
- Preenchimento de credenciais, a sua palavra-passe de uma violação de outro site torna-se inútil por si só.
- Adivinhação e pulverização de palavras-passe.
- A maioria dos ataques de troca de SIM, assim que o SMS é removido como alternativa.
- Malware já no seu computador. Se algo está a observar a sua sessão depois de iniciar sessão, a chave já fez o seu trabalho e foi contornada.
- Roubo de cookie de sessão. Um atacante que rouba um token de sessão ativo não precisa de iniciar sessão de todo.
- A via de recuperação. Se o pessoal de suporte puder ser convencido a redefinir a sua conta, a sua chave é irrelevante. Esta é agora a forma mais comum de contas com chave caírem.
- Apreensão física de si e da chave em conjunto.
- Contas que se esqueceu de proteger, que é para onde os atacantes irão a seguir.
Fecha a porta da frente completamente, e o atacante muda-se para as janelas. Isso ainda é uma melhoria enorme, a porta da frente é onde estava quase todo o tráfego, mas é uma razão para continuar a ler o resto deste site em vez de parar aqui.
06Se você não quer um YubiKey
O YubiKey é o padrão porque é o mais amplamente suportado e o mais minuciosamente revisado, não porque é a única opção. Não recebemos dinheiro de nenhum deles.
Nitrokey
Alemão, com firmware e designs de hardware de código aberto, a escolha se "quero poder inspecioná-lo" importa mais para você do que a compatibilidade máxima. Coberto como alternativa na seção de chaves de segurança do guia.
nitrokey.com ↗Token2
Suíço, barato, focado em FIDO2. Uma forma razoável de comprar duas chaves com orçamento apertado sem recorrer a uma marca desconhecida.
token2.com ↗Seu telefone como passkey
Telefones modernos podem atuar como autenticador FIDO2, o que oferece a mesma resistência a phishing de graça. Mais fraco em um aspecto específico: o telefone é o dispositivo com maior probabilidade de ser tomado, desbloqueado ou comprometido. Bom como segundo fator, não como o seu único.
07Perguntas que as pessoas realmente fazem
O que acontece se eu perder a chave?
Nada, se você fez isso corretamente: você usa a segunda chave e depois remove a perdida de todas as contas e registra uma substituta. É exatamente por isso que o guia insiste em comprar duas. Se você não fez isso, você recorre aos seus códigos de recuperação e, se também não os tiver, você depende do processo de recuperação de conta do provedor, que pode levar semanas e às vezes falha.
Alguém que roube a minha chave consegue entrar nas minhas contas?
Não por si só. A chave é um segundo fator, a pessoa ainda precisa da sua palavra-passe e, na maioria das configurações, também precisa do PIN da chave, que bloqueia o dispositivo após um pequeno número de tentativas erradas. Uma chave roubada é um incómodo para si, não uma violação. Remova-a das suas contas mesmo assim.
Tenho de a levar para todo o lado?
Só quando inicia sessão num sítio novo. A maioria dos sites permite marcar um dispositivo como fidedigno, por isso no dia a dia raramente tocará na chave — tipicamente ao configurar uma máquina nova ou depois de limpar os cookies. Os modelos NFC funcionam encostando-a a um telemóvel, o que elimina a maior parte da fricção que as pessoas imaginam.
Uma passkey é a mesma coisa?
Uma passkey é a mesma criptografia com a mesma resistência ao phishing. A diferença está em onde reside. Uma passkey no seu telemóvel ou numa conta de navegador sincroniza através da nuvem de uma empresa, o que é conveniente e significa que a força dessa conta se torna a força da sua passkey. Uma passkey numa chave de hardware não pode ser sincronizada, copiada nem extraída. Para contas que importam, coloque-a em hardware.
Que contas devem receber uma primeiro?
O email, sempre. Depois o seu gestor de palavras-passe, depois qualquer coisa a partir da qual publique, depois qualquer coisa que guarde dinheiro. Se documenta ou reporta sobre este assunto, a conta a partir da qual publica vale mais para um adversário do que o seu banco — perdê-la significa outra pessoa a falar em seu nome, o que não pode ser desfeito com um estorno.
08Fontes e leitura adicional
- Yubico — site oficial e comparação de modelos yubico.com
- FIDO Alliance, o padrão FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternativa de hardware e firmware de código aberto nitrokey.com
- EFF Surveillance Self-Defense — segurança de contas ssd.eff.org
- Privacy Guides — autenticação multifator privacyguides.org
Última revisão: 25 de setembro de 2026