Só 4% das empresas que usam autenticação multifator confiam numa chave de segurança física como o YubiKey, contra 95% que dependem de uma aplicação de software no telemóvel, segundo um estudo da LastPass com os seus próprios clientes empresariais. É uma diferença enorme, e levanta uma pergunta simples: se as chaves de hardware são tecnicamente mais seguras, porque quase ninguém as usa? E será que vale a pena mudar? Este artigo compara o YubiKey com as aplicações autenticadoras (Google Authenticator, Microsoft Authenticator, Authy e Duo) em preço, segurança, facilidade de uso e casos reais, com dados de 2025 e 2026.
YubiKey vs apps autenticadores: o essencial em 2026
A diferença central entre estas duas abordagens não é cosmética. Um YubiKey é um dispositivo físico USB ou NFC que gera e guarda uma chave criptográfica que nunca sai do próprio dispositivo. Uma aplicação autenticadora corre no telemóvel e gera códigos temporários (TOTP) ou envia notificações push que o utilizador aprova com um toque. Os dois métodos substituem o SMS como segundo fator, mas resistem a ataques de formas muito diferentes.
O ponto que separa as duas categorias é a resistência a phishing. Uma chave FIDO2/WebAuthn como o YubiKey assina o pedido de autenticação com uma chave privada ligada à origem exata do site (o domínio), o que torna impossível reutilizar essa assinatura noutro endereço. Um código TOTP, pelo contrário, é apenas uma sequência de números que o utilizador pode copiar (ou ser enganado a introduzir) num site falso. Essa distinção técnica explica praticamente tudo o resto neste artigo: preço, adoção, casos de uso e o veredito final.
Como funciona uma chave de segurança YubiKey
O YubiKey, fabricado pela Yubico, é um pequeno dispositivo USB-A, USB-C ou Lightning com um sensor de toque (e, em alguns modelos, um leitor de impressão digital). Ao autenticar-se, o utilizador liga a chave a uma porta USB ou aproxima-a de um leitor NFC e toca no sensor. Não há código para escrever, não há aplicação para abrir, e a chave não precisa de bateria nem de ligação à internet.
Internamente, a chave suporta vários protocolos: FIDO2/WebAuthn (o standard moderno usado por passkeys), U2F (a versão anterior), OTP (para compatibilidade com sistemas mais antigos) e, em modelos “Bio”, desbloqueio por impressão digital em vez de PIN. Uma única chave pode guardar até 25 passkeys distintas nos modelos YubiKey 5, ou até 250 no caso das chaves Google Titan de nova geração, segundo dados de fabricante recolhidos em 2026. Isto significa que o mesmo dispositivo físico serve para o Gmail, o GitHub, a conta bancária e o acesso corporativo, sem repetir configuração em cada aplicação.
A Yubico também vende versões “FIPS” da linha 5, certificadas para setores com requisitos regulatórios mais rígidos, como governo e defesa, e a linha “Bio” para quem prefere autenticar-se com impressão digital em vez de tocar apenas no sensor metálico. Fisicamente, uma YubiKey é resistente a água e esmagamento dentro dos limites indicados pelo fabricante, e não guarda historial de sites visitados nem dados pessoais além da chave criptográfica em si, o que limita o que um atacante ganharia mesmo que conseguisse roubar fisicamente o dispositivo sem o PIN associado.
Como funcionam as aplicações autenticadoras
Google Authenticator, Microsoft Authenticator, Authy e Duo Mobile seguem uma lógica diferente. A aplicação e o servidor partilham um segredo inicial (normalmente através de um código QR) e, a partir daí, ambos geram o mesmo código numérico de seis dígitos a cada 30 segundos, usando o algoritmo TOTP (RFC 6238). O utilizador só precisa de abrir a aplicação, ler o código e escrevê-lo no site.
O Microsoft Authenticator vai mais além: além do TOTP tradicional, funciona como cliente de aprovação push para o Microsoft Entra ID (antigo Azure AD) e o Microsoft 365, apresentando um pedido de “Sim/Não” em vez de um código. Também está a evoluir para gestor de passkeys, com sincronização entre dispositivos ligada à conta Microsoft. O Google Authenticator manteve-se mais simples: só gera códigos OTP, sem push nativo, embora tenha adicionado sincronização na nuvem com a conta Google a partir da versão 6.0 (Android) e 4.0 (iOS), lançada em abril de 2023. Essa sincronização inicial não usava encriptação ponto-a-ponto, o que gerou críticas de investigadores de segurança na altura.
Tabela comparativa: especificações lado a lado
A tabela seguinte resume as diferenças técnicas mais relevantes entre o YubiKey e as principais aplicações autenticadoras disponíveis em 2026.
| Característica | YubiKey (hardware) | Google Authenticator | Microsoft Authenticator | Duo Mobile |
|---|---|---|---|---|
| Tipo de fator | Chave física FIDO2/WebAuthn | Código TOTP | TOTP + push + passkeys | TOTP + push |
| Resistência a phishing | Alta (ligação criptográfica ao domínio) | Baixa (código copiável) | Baixa a média (push pode ser aprovado por engano) | Baixa a média |
| Preço | 29 a 98 USD por chave | Grátis | Grátis | Grátis (app); serviço pago à parte |
| Requer telemóvel | Não | Sim | Sim | Sim |
| Funciona offline | Sim, sempre | Sim, para gerar código | Sim, para TOTP; push exige rede | Push exige rede |
| Sincronização na nuvem | Não aplicável (a chave é o segredo) | Sim, desde 2023 (sem E2EE inicial) | Sim (iCloud Keychain no iOS desde 2025) | Sim |
| Suporte a passkeys | Sim, até 25 por chave (série 5) | Não documentado | Sim, em expansão desde 2025 | Parcial |
| Plataformas | USB-A, USB-C, Lightning, NFC | Android, iOS | Android, iOS | Android, iOS |
| Risco principal | Perda física da chave | Malware no telemóvel, captura de ecrã | Aprovação por engano (“MFA fatigue”) | Aprovação por engano |
| Recomendado pela NIST para contas críticas | Sim (SP 800-63B) | Aceite, mas não “phishing-resistant” | Aceite, mas não “phishing-resistant” | Aceite, mas não “phishing-resistant” |
| Adoção empresarial (LastPass, 2025) | 4% | 24% | 1% | 31% |
Os números de adoção mostram um paradoxo real: a opção mais recomendada tecnicamente (YubiKey) é a menos usada na prática. Isso tem tanto a ver com custo e fricção de implementação como com falta de sensibilização.
Resistência a phishing: o que mostram os dados
A Google publicou um estudo interno sobre a implementação de chaves de segurança entre os seus funcionários e os resultados são claros. As autenticações baseadas em código OTP tiveram uma taxa média de falha de 3%, enquanto as autenticações com chaves de segurança físicas registaram 0% de falhas no mesmo período, segundo o relatório disponível no blogue oficial da Google Cloud. A empresa também reportou não ter tido nenhuma tomada de conta confirmada por phishing depois de implementar chaves de segurança em toda a força de trabalho.
Do lado oposto, 2025 e 2026 trouxeram uma vaga de ataques desenhados especificamente para contornar códigos TOTP e aprovações push. O kit de phishing Tycoon2FA, já analisado num artigo anterior deste site, funciona como um proxy “adversary-in-the-middle” (AiTM): o utilizador introduz a palavra-passe e o código de autenticação num site falso, e o atacante rouba o token de sessão gerado depois da aprovação, sem nunca precisar de saber o código em si. Segundo a Microsoft, esta técnica já foi usada em campanhas com dezenas de milhões de mensagens de phishing por mês, atingindo mais de 500 mil organizações. Uma campanha separada documentada pela Microsoft em maio de 2026 visou mais de 35 mil utilizadores em mais de 13 mil organizações espalhadas por 26 países, sempre com o mesmo objetivo: roubar o token depois do login legítimo, não o código em si.
É esta a razão técnica pela qual o NIST, no seu guia SP 800-63B, recomenda autenticadores criptográficos multifator resistentes a phishing (como FIDO2/WebAuthn) para contas de alto risco, em vez de depender apenas de códigos ou aprovações push que podem ser interceptados a meio do fluxo de autenticação.
Vulnerabilidades conhecidas nas aplicações autenticadoras
As aplicações de software também acumularam falhas próprias nos últimos dois anos. O Microsoft Authenticator recebeu, em 2026, um alerta de segurança crítico catalogado como CVE-2026-41615, com pontuação CVSS de 9,6, que permitia o roubo silencioso do token de acesso de uma conta profissional, dando ao atacante acesso às aplicações e dados que essa conta consegue alcançar. A Microsoft corrigiu a falha nas versões Android 6.2605.2973 e iOS 6.8.47 em diante. Um segundo problema, CVE-2026-26123, com CVSS 5,5, envolvia uma falha na forma como a aplicação lidava com deep links personalizados, o que podia permitir que uma app maliciosa se fizesse passar pelo Authenticator em certas condições.
O Google Authenticator, por seu lado, não teve uma CVE direta na app móvel oficial nos registos analisados, mas ficou exposto a um ataque batizado de “Pixnapping” (CVE-2025-48561), capaz de extrair códigos 2FA diretamente do ecrã de dispositivos Android em menos de 30 segundos, através de uma técnica de “roubo de pixels” que contorna proteções do sistema operativo. Em 2026 surgiu ainda uma extensão maliciosa para o Chrome que se fazia passar pelo Google Authenticator para roubar códigos de utilizadores menos atentos. Nenhum destes casos afeta o YubiKey, porque o segredo criptográfico nunca sai do próprio dispositivo físico e não existe ecrã, ficheiro ou processo do sistema operativo de onde um atacante o possa extrair remotamente.
Vale sublinhar que nenhuma destas vulnerabilidades de software torna o Google Authenticator ou o Microsoft Authenticator más escolhas por si só. Ambos continuam a ser muito melhores do que não ter segundo fator nenhum, ou do que depender apenas de SMS, que acumula riscos adicionais de troca fraudulenta de cartão SIM. O ponto central é outro: em contas de baixo risco, uma app já chega, mas em contas onde uma falha destas pode ter impacto financeiro ou reputacional direto, a diferença entre 0% e 3% de falhas de autenticação medida pela Google deixa de ser um detalhe estatístico e passa a ser um argumento de negócio.
Preços em 2026: quanto custa cada opção
Em termos de custo direto para o utilizador, as aplicações autenticadoras ganham facilmente: Google Authenticator, Microsoft Authenticator, Authy e Duo Mobile são gratuitas para download e uso pessoal. O custo de uma chave YubiKey varia consoante o modelo, a ligação física e se inclui leitor de impressão digital.
| Produto | Preço (2026) | Tipo de ligação |
|---|---|---|
| YubiKey Security Key NFC | 29 USD | USB-A + NFC (só FIDO2/U2F) |
| YubiKey Security Key C NFC | 29 USD | USB-C + NFC (só FIDO2/U2F) |
| YubiKey 5 NFC | 50 USD | USB-A + NFC |
| YubiKey 5C NFC | 58 USD | USB-C + NFC |
| YubiKey 5C | 65 USD | USB-C |
| YubiKey 5 Nano | 60 USD | USB-A (permanente) |
| YubiKey 5Ci | 85 USD | USB-C + Lightning |
| YubiKey Bio (FIDO Edition) | 98 USD | USB-A, impressão digital |
| Google Authenticator | Grátis | App Android/iOS |
| Microsoft Authenticator | Grátis | App Android/iOS |
| Authy | Grátis (app de consumidor) | App Android/iOS/desktop |
| Duo Mobile | Grátis (app); serviço com licenciamento à parte | App Android/iOS |
Para empresas, a Yubico também vende um modelo de subscrição de gestão de chaves com três níveis: Base a 15 USD por utilizador/ano, Avançado a 35 USD, e Conformidade a 55 USD, valores que se somam ao custo de compra das próprias chaves físicas. Já o custo de implementação de apps autenticadoras costuma estar diluído na licença da plataforma de identidade (Entra ID, Google Workspace, Okta), sem uma tarifa separada por app. Na prática, uma chave YubiKey de gama básica custa o equivalente a um café por mês ao longo de três anos, o que a maioria das análises de risco considera barato face ao custo médio de uma conta empresarial comprometida.
Adoção no mercado: quem usa o quê
Um estudo da LastPass junto de clientes empresariais, publicado em 2025, mostrou a seguinte distribuição de ferramentas de MFA: LastPass Authenticator (39%), Duo Security (31%), Google Authenticator (24%), YubiKey (4%) e Microsoft Authentication (1%). Somando só as apps de software, a fatia chega a cerca de 95% do total, contra 4% de hardware dedicado.
Outros números reforçam o quadro. O mercado global de autenticação multifator valia cerca de 1,87 mil milhões de dólares em 2025, representando 58,3% do mercado mais amplo de autenticação, à frente da autenticação de dois fatores tradicional (24,1%) e do single sign-on (17,6%). A adoção de MFA a nível global no ambiente de trabalho atingiu 70% dos utilizadores em janeiro de 2025, e 57,8% das empresas já tinham substituído o SMS por apps autenticadoras em 2025, segundo levantamentos setoriais citados em relatórios de segurança do mesmo período. Entre os utilizadores de MFA, 95% preferem soluções baseadas em software a hardware ou SMS, o que ajuda a explicar por que razão o YubiKey continua a ser uma escolha de nicho apesar do desempenho superior contra phishing. Esta preferência por software não é irracional: reflete sobretudo o custo zero de entrada e a ausência de um objeto físico para gerir, e não uma avaliação técnica de qual método resiste melhor a um ataque direcionado.
Velocidade e experiência de utilização
Além da segurança, a experiência do dia a dia pesa na escolha. No estudo já citado da Google Cloud, os funcionários que passaram a usar chaves de segurança físicas reduziram o tempo gasto a autenticar-se em quase dois terços face ao SMS OTP, porque o gesto de tocar na chave é mais rápido do que esperar por uma mensagem, abrir a app e copiar seis dígitos antes que o código expire. Isto pode parecer um detalhe menor, mas multiplicado por várias autenticações diárias, ao longo de milhares de funcionários, traduz-se em milhares de horas de produtividade poupadas por ano, segundo a própria Google.
Por outro lado, as apps autenticadoras ganham em conveniência inicial. Configurar o Google Authenticator ou o Microsoft Authenticator não exige comprar nada nem esperar por uma entrega: basta digitalizar um código QR e o segundo fator já está ativo. Para quem gere dezenas de contas pessoais e não quer transportar um objeto físico extra no porta-chaves, essa fricção zero de arranque continua a pesar a favor do software, mesmo sabendo que a proteção contra phishing avançado é mais fraca. O Microsoft Authenticator soma ainda a vantagem do push: aprovar um pedido com um toque no ecrã é mais rápido do que escrever um código, embora seja precisamente essa rapidez de aprovação que os atacantes exploram em campanhas de “fadiga de MFA”, bombardeando a vítima com pedidos até que aprove um por engano ou cansaço.
Contexto em Portugal e na União Europeia: NIS2, DORA e MFA obrigatória
Para leitores em Portugal, esta comparação não é apenas uma questão de preferência pessoal. A transposição da diretiva NIS2 para o regime jurídico nacional de cibersegurança já abrange cerca de 9.000 entidades portuguesas, entre operadores de infraestrutura crítica, administração pública e empresas de setores essenciais, com coimas que podem chegar aos 10 milhões de euros em caso de incumprimento grave. Entre as medidas técnicas mínimas exigidas está o uso de autenticação multifator para acesso a sistemas críticos, o que obriga muitas organizações portuguesas a decidir, precisamente agora, entre apps autenticadoras gratuitas e chaves de hardware mais caras mas mais resistentes a phishing.
No setor financeiro, o regulamento europeu DORA (Digital Operational Resilience Act) impõe requisitos semelhantes a bancos, seguradoras e prestadores de serviços de pagamento, com foco explícito na resiliência a incidentes cibernéticos e na gestão de terceiros. Para uma instituição financeira sediada em Portugal, optar por chaves FIDO2 como o YubiKey em contas de administração de sistemas e acesso privilegiado não é apenas boa prática, é cada vez mais um caminho direto para cumprir esses requisitos regulatórios sem margem para interpretação. Já para o utilizador final de um banco ou plataforma pública portuguesa, a autenticação continua a depender do que cada serviço disponibiliza, e a maioria ainda oferece apenas SMS ou app, não chave física, o que limita a escolha do lado do consumidor.
Cinco exemplos reais de utilização
1. Google e a implementação interna de chaves de segurança. A própria Google, criadora do Google Authenticator, optou por equipar os seus funcionários com chaves de segurança físicas em vez de depender apenas da sua própria app, citando zero tomadas de conta confirmadas por phishing depois da mudança.
2. Tycoon2FA contra o Microsoft 365. A vaga de ataques com este kit de phishing, descrita num artigo dedicado deste site, mostrou como códigos TOTP e aprovações push do Microsoft Authenticator podem ser interceptados a meio do processo de login, mesmo quando o utilizador faz tudo “certo”.
3. Migração de backups do Microsoft Authenticator para iCloud. Em julho de 2025, a Microsoft mudou o sistema de cópia de segurança do Authenticator no iOS para usar diretamente o iCloud Keychain, eliminando a obrigatoriedade de conta Microsoft para restaurar contas num iPhone novo, uma resposta direta às críticas de utilizadores que perdiam o acesso a todos os códigos ao trocar de telemóvel.
4. Ataque “Pixnapping” ao Google Authenticator. Investigadores demonstraram em 2025 uma técnica capaz de extrair códigos do Google Authenticator diretamente do ecrã de um Android comprometido em menos de 30 segundos, sem que a vítima percebesse nada de anormal a acontecer.
5. Passkeys guardadas fisicamente numa chave YubiKey. Com o suporte a passkeys nas chaves YubiKey série 5 (até 25 por dispositivo) e nas chaves Google Titan de nova geração (até 250), utilizadores individuais já conseguem substituir totalmente palavras-passe em contas Google, Microsoft e GitHub por um único dispositivo físico, sem depender de sincronização na nuvem para o segredo criptográfico em si.
Estes cinco casos, tirados de relatórios de segurança e comunicados oficiais publicados entre 2025 e 2026, mostram um padrão comum: os incidentes mais graves não acontecem porque uma app autenticadora “falhou” tecnicamente, mas porque o próprio fluxo de aprovação (um código, um toque, um “sim”) pode ser interceptado ou imitado por um atacante suficientemente persistente. É exatamente esse elo humano e replicável que uma chave física elimina, ao substituir uma ação que pode ser copiada por uma assinatura criptográfica que não pode.
Prós e contras do YubiKey
- A favor: resistência real a phishing e ataques AiTM, porque a assinatura está ligada ao domínio exato do site.
- A favor: não depende do telemóvel, da bateria ou de ligação à internet para funcionar.
- A favor: uma única chave guarda dezenas de credenciais e serve vários serviços em simultâneo.
- A favor: recomendada pelo NIST SP 800-63B como autenticador resistente a phishing para contas críticas.
- Contra: custo direto de 29 a 98 USD por unidade, e é aconselhável comprar uma segunda chave de backup.
- Contra: perder a chave sem ter um backup configurado pode bloquear o acesso à conta.
- Contra: nem todos os serviços online suportam FIDO2/WebAuthn, especialmente sites mais pequenos ou legados.
- Contra: exige um investimento inicial de tempo para registar a chave em cada conta, algo que uma app resolve com um único QR code.
Prós e contras das aplicações autenticadoras
- A favor: gratuitas, sem hardware adicional para comprar ou transportar.
- A favor: configuração rápida através de código QR, familiar à maioria dos utilizadores.
- A favor: o Microsoft Authenticator já oferece push e está a caminhar para gerir passkeys também.
- A favor: sincronização na nuvem (Google desde 2023, Microsoft via iCloud desde 2025) resolve o problema clássico de perder o telemóvel.
- Contra: vulneráveis a phishing AiTM como o Tycoon2FA, que rouba o token depois da aprovação.
- Contra: dependem da segurança do próprio telemóvel: malware, extensões falsas ou técnicas como o Pixnapping podem expor códigos.
- Contra: “fadiga de MFA” (aprovar notificações push por hábito ou engano) é um vetor de ataque documentado em campanhas reais.
- Contra: perder ou trocar de telemóvel sem ter a sincronização na nuvem ativada pode significar perder o acesso a todas as contas de uma só vez.
Authy, Duo e outras alternativas: onde se encaixam
Google Authenticator e Microsoft Authenticator não são as únicas opções de software. O Authy, da Twilio, foi durante anos uma referência por permitir sincronização multidispositivo antes mesmo da Google adicionar essa funcionalidade, mas a aplicação de desktop chegou ao fim de vida em agosto de 2024, forçando os utilizadores a sair da sessão e a migrar para outra solução. A API empresarial do Authy também deixou de aceitar novos clientes, com a Twilio a orientar quem ainda a usa para o serviço Verify, cobrado a cerca de 0,05 dólares por verificação bem-sucedida mais 0,0083 dólares por SMS enviado nos Estados Unidos. Para quem ainda tem contas ligadas ao Authy, a recomendação prática é migrar de forma planeada, seguindo o mesmo princípio do guia de migração descrito acima: registar o novo método antes de remover o antigo, conta a conta.
O Duo Mobile, da Cisco, ocupa um lugar diferente: é a app de MFA mais usada entre clientes empresariais no estudo da LastPass citado anteriormente (31%), à frente do Google Authenticator e muito à frente do Microsoft Authenticator. Isto acontece porque o Duo se vende como uma plataforma completa de gestão de acessos, não apenas como gerador de códigos, com políticas de confiança de dispositivo, deteção de risco e integração profunda com sistemas de identidade corporativos. O Okta Verify segue uma lógica semelhante dentro do ecossistema Okta. Nenhuma destas duas soluções resolve o problema estrutural do phishing AiTM descrito antes, porque continuam a depender de código ou aprovação, mas ambas reduzem a fricção de gestão em organizações grandes, o que explica a sua popularidade face a alternativas gratuitas mas mais simples como o Google Authenticator.
Vale ainda mencionar as chaves Google Titan, a resposta da própria Google ao YubiKey. Tecnicamente seguem o mesmo protocolo FIDO2/WebAuthn e competem sobretudo em capacidade de armazenamento (até 250 passkeys nos modelos mais recentes) e em integração nativa com o ecossistema Android e Chrome. Para quem já vive dentro do ecossistema Google, as chaves Titan são uma alternativa direta ao YubiKey, com a mesma lógica de segurança e um preço na mesma ordem de grandeza.
Cinco casos de uso: qual escolher
Utilizador comum com contas pessoais (email, redes sociais). Uma app autenticadora gratuita como o Google Authenticator ou Microsoft Authenticator já traz uma melhoria enorme em relação ao SMS, sem custo nem curva de aprendizagem.
Profissional com acesso a dados financeiros ou de clientes. Vale a pena investir numa YubiKey Security Key (29 USD) para as contas mais sensíveis (email profissional, gestor de palavras-passe, acesso administrativo), mantendo a app para o resto.
Administradores de sistemas e equipas de TI. Contas com privilégios elevados (Entra ID, AWS root, painéis de administração) deveriam exigir uma chave física resistente a phishing, seguindo diretamente a recomendação do NIST SP 800-63B para autenticadores criptográficos.
Empresas com equipas remotas ou alvo frequente de phishing direcionado. Depois de campanhas como o Tycoon2FA, faz sentido migrar utilizadores de alto risco (finanças, RH, executivos) para chaves de hardware, mantendo apps autenticadoras apenas como segundo fator de recuperação.
Pequenas equipas com orçamento limitado. Duo Mobile ou Microsoft Authenticator com push cobrem a maioria dos requisitos de conformidade a custo zero, sendo uma escolha razoável enquanto a organização ainda não justifica o investimento em hardware.
Guia de migração: de app autenticadora para YubiKey
Trocar de uma app autenticadora para uma chave física não precisa de ser feito de um dia para o outro. A maior parte dos erros de migração acontece quando alguém remove o método antigo antes de confirmar que o novo funciona de facto, ficando bloqueado fora da própria conta. Este é o caminho recomendado para uma transição sem sobressaltos, pensado para ser feito ao longo de algumas semanas em vez de numa única sessão.
- Compre pelo menos duas chaves YubiKey (uma principal, uma de backup guardada em local seguro e diferente).
- Comece pelas contas mais críticas: email principal, gestor de palavras-passe e conta Microsoft ou Google usada para trabalho.
- Nas definições de segurança de cada serviço, procure a opção “chave de segurança” ou “FIDO2/WebAuthn” (normalmente junto das opções de autenticação de dois fatores).
- Registe a chave principal e, de seguida, registe também a chave de backup na mesma conta, antes de remover a app autenticadora.
- Guarde os códigos de recuperação gerados pelo serviço num local separado das duas chaves físicas.
- Só remova a app autenticadora depois de confirmar que consegue autenticar-se com sucesso usando a chave física, idealmente testando com sessão terminada.
- Repita o processo para as restantes contas ao longo de algumas semanas, sem pressa.
- Mantenha uma app autenticadora instalada como método de recuperação secundário para serviços que ainda não suportam FIDO2.
Passkeys: o ponto de convergência entre os dois mundos
As passkeys (chaves de acesso) representam, na prática, uma fusão dos dois modelos. Tecnicamente usam o mesmo protocolo FIDO2/WebAuthn de uma YubiKey, mas o segredo pode ficar guardado no telemóvel ou computador em vez de num dispositivo físico dedicado, sincronizado através da conta Google, Apple ou Microsoft. Um artigo anterior deste site já detalha a implementação técnica de WebAuthn em Node.js para quem quiser perceber o protocolo por trás.
Dados de adoção de 2026 mostram cerca de 200 milhões de utilizadores já com passkeys registadas nalgum programa, associados a uma redução de 3% no uso de códigos SMS, 32% menos pedidos de recuperação de palavra-passe, e 30 mil chamadas a menos por mês para suporte relacionado com identidade, segundo dados setoriais divulgados por organizações ligadas à FIDO Alliance. A tendência é clara: tanto o Google Authenticator como o Microsoft Authenticator estão a evoluir para gerir passkeys, o que pode, com o tempo, tornar a distinção entre “app” e “hardware” menos relevante do que é hoje. Até lá, para quem quer o nível mais alto de proteção contra phishing, a chave física continua a ser a opção com o histórico mais sólido.
Veredito final: qual escolher em 2026
Não há um vencedor único, há uma resposta certa para cada perfil de risco. Para o utilizador médio, uma app autenticadora gratuita continua a ser um upgrade enorme em relação ao SMS, e cobre bem a maioria das ameaças do dia a dia. Mas os dados de 2025 e 2026 são claros num ponto: contra phishing avançado e ataques AiTM como o Tycoon2FA, só um autenticador criptográfico como o YubiKey oferece proteção estrutural, não apenas uma camada extra de fricção. A Google já mediu isto internamente: 0% de falhas de autenticação com chaves físicas contra 3% com códigos OTP, e zero tomadas de conta confirmadas por phishing depois da mudança.
Se gere dados sensíveis, tem privilégios de administrador ou já foi alvo de tentativas de phishing direcionado, o investimento de 29 a 98 USD numa YubiKey compensa rapidamente face ao custo de uma conta comprometida. Para todos os outros casos, uma app autenticadora bem configurada, combinada com bom senso ao aprovar notificações push, continua a ser uma defesa sólida e sem custo.
Na prática, as duas abordagens não são mutuamente exclusivas. A combinação mais comum entre equipas de segurança maduras é usar uma chave física como fator principal em contas críticas, com uma app autenticadora ou códigos de recuperação como plano B, nunca o inverso. Essa camada dupla evita o cenário mais frustrante de todos: ficar bloqueado fora da própria conta por ter apostado tudo num único método, seja ele hardware ou software.
Perguntas frequentes
O YubiKey substitui totalmente a palavra-passe?
Só nos serviços que suportam passkeys FIDO2 sem palavra-passe. Na maioria dos casos, a chave continua a funcionar como segundo fator, combinada com a palavra-passe habitual.
O que acontece se eu perder a minha YubiKey?
Se tiver registado uma segunda chave de backup ou guardado os códigos de recuperação em local seguro, consegue recuperar o acesso sem problemas. Sem backup, pode ficar bloqueado até contactar o suporte de cada serviço.
Posso usar a mesma YubiKey no telemóvel e no computador?
Sim, desde que o modelo tenha a ligação certa para cada dispositivo (por exemplo, NFC para telemóvel e USB-C para portátil) ou que combine várias interfaces, como acontece nos modelos 5C NFC e 5Ci.
Google Authenticator ou Microsoft Authenticator, qual é melhor?
O Microsoft Authenticator oferece mais funcionalidades (push, integração com Entra ID, roteiro de passkeys), enquanto o Google Authenticator é mais simples e focado só em códigos TOTP. Nenhum dos dois é resistente a phishing da mesma forma que uma chave FIDO2.
As apps autenticadoras são mesmo vulneráveis a ataques reais?
Sim. Campanhas como o Tycoon2FA já contornaram códigos SMS, OTP e aprovações push em centenas de milhares de organizações, roubando o token de sessão depois do login aprovado.
Vale a pena comprar uma YubiKey só para uso pessoal?
Para contas críticas como o email principal e o gestor de palavras-passe, sim. O modelo mais barato (Security Key, 29 USD) já cobre a maioria das necessidades pessoais.
Uma YubiKey funciona em vários dispositivos e serviços ao mesmo tempo?
Sim. A mesma chave pode ser registada em vários serviços diferentes (Google, Microsoft, GitHub, gestores de palavras-passe) e usada em qualquer computador ou telemóvel com porta USB ou NFC compatível.
É preciso ligação à internet para usar uma app autenticadora ou uma YubiKey?
Não, em nenhum dos dois casos, para gerar o código ou a assinatura em si. Só as notificações push (usadas pelo Microsoft Authenticator e pelo Duo) exigem rede.
As empresas podem obrigar os funcionários a usar chaves físicas?
Sim, e várias grandes empresas de tecnologia já o fazem para contas de alto risco, apoiadas por dados internos que mostram redução de incidentes de phishing depois da mudança.
Uma YubiKey ajuda uma empresa portuguesa a cumprir a NIS2?
Ajuda a cumprir o requisito de autenticação multifator de forma mais robusta do que uma app comum, especialmente em contas de administração de sistemas, mas o cumprimento da NIS2 depende do conjunto completo de medidas técnicas e organizativas exigidas, não de uma única ferramenta isolada.
O Authy ainda é uma opção viável em 2026?
Para uso pessoal continua disponível, mas a aplicação de desktop terminou em agosto de 2024 e a API empresarial já não aceita novos clientes, o que torna o Google Authenticator, o Microsoft Authenticator ou uma chave física escolhas mais seguras a longo prazo.
Cobertura relacionada
- Google vs Microsoft Authenticator: 1 Função vs 3 [2026]
- Autenticação de Dois Fatores em Node.js: 12 Passos [2026]
- WebAuthn em Node.js: Implementar Passkeys em 12 Passos [2026]
- Tycoon2FA: 64.000 Ataques a Microsoft 365 [2026]
- Segurança de Palavras-passe: Guia Prático
- NIS2 Portugal: 9.000 Empresas Abrangidas, Coimas até €10M [2026]
Para mais artigos sobre proteção de contas, ameaças e boas práticas de defesa, consulte a secção de Cibersegurança do shattered.io.
