Uma chave USB do tamanho de uma pen de 4GB consegue parar um ataque de phishing que engana humanos todos os dias. A Google testou essa ideia com mais de 85 mil funcionários e, depois de obrigar o uso de chaves físicas, não registou um único roubo de conta por phishing confirmado, um resultado que continua a ser citado em análises de segurança publicadas em 2026 (WorkOS). Três fabricantes dominam este mercado: a sueco-americana Yubico com a gama YubiKey, a Google com a Titan Security Key, e a chinesa Feitian com a família ePass. Os preços vão de 25 dólares a mais de 130 euros, e as diferenças técnicas entre eles pesam na hora de proteger uma conta de email, uma carteira de criptomoedas ou o acesso de uma equipa inteira a sistemas internos. Este artigo compara as três marcas com especificações, preços atualizados, compatibilidade entre sistemas operativos e uma falha de segurança real que já afetou uma delas.
Porque as chaves de segurança físicas voltaram a estar em alta em 2026
As palavras-passe continuam a ser o elo mais fraco da segurança online. Phishing, reutilização de credenciais e bases de dados roubadas alimentam a maioria das invasões de contas registadas todos os anos. A resposta da indústria passa por dois caminhos que se cruzam: as passkeys (chaves de acesso sem palavra-passe, guardadas no telemóvel ou num gestor de palavras-passe) e as chaves físicas FIDO2, que guardam a credencial criptográfica num pequeno dispositivo USB ou NFC que nunca sai do bolso do utilizador.
A FIDO Alliance, o consórcio que define os padrões FIDO2 e WebAuthn usados por estas chaves, publicou em maio de 2026 um relatório que resume o estado da adoção. Segundo a organização, existem atualmente cerca de 5 mil milhões de passkeys ativas em todo o mundo, 90% das pessoas já ouviram falar do conceito e 75% ativaram pelo menos uma passkey numa conta, um salto face aos 69% registados no ano anterior e aos 53% medidos em 2024. Entre as empresas, 68% já implementaram ou estão a implementar passkeys para autenticar os próprios funcionários (FIDO Alliance, maio de 2026).
Um levantamento anterior, o Passkey Index de outubro de 2025, junta dados reais de empresas como Amazon, Microsoft, PayPal e TikTok. Os números mostram que 93% das contas analisadas já são elegíveis para passkeys, mas apenas 36% têm uma passkey efetivamente registada e só 26% dos acessos à conta usam esse método (FIDO Alliance, outubro de 2025). O fosso entre “disponível” e “usado” é onde as chaves físicas entram em jogo: ao contrário de uma passkey guardada num telemóvel, uma chave FIDO2 funciona em qualquer computador, não depende de sincronização na nuvem e pode ser partilhada entre contas pessoais e profissionais sem misturar dados biométricos.
Já analisámos em detalhe a diferença entre passkeys e autenticação de dois fatores tradicional e também a comparação entre chaves físicas e apps de autenticação neste site. Este artigo foca-se numa camada mais específica dessa discussão: dentro das chaves físicas FIDO2, qual das três marcas principais compensa mais consoante o perfil de quem compra. Para um contexto mais alargado sobre a evolução da segurança online em Portugal e na União Europeia, a cobertura completa está reunida na secção de cibersegurança do site.
YubiKey da Yubico: a gama 5, Bio e FIPS explicada
A Yubico, empresa sueco-americana fundada em 2007, é a referência do setor e a primeira opção de muitas equipas de segurança corporativa. A gama atual chama-se YubiKey 5 Series e inclui oito variantes: YubiKey 5 NFC, 5C NFC, 5C, 5 Nano, 5C Nano, 5Ci, 5 Bio e 5C Bio, cada uma com combinações diferentes de ligação USB-A, USB-C, Lightning e NFC (Yubico). Todas correm o firmware mais recente da série 5 (v5.8 nos modelos standard) e suportam FIDO2, FIDO U2F, smart card compatível com PIV, OATH-HOTP, OATH-TOTP e OpenPGP no mesmo dispositivo, o que torna a YubiKey a opção mais versátil tecnicamente das três.
A linha Bio acrescenta um sensor de impressão digital embutido, permitindo autenticação biométrica local sem enviar dados para nenhum servidor. Já a linha YubiKey 5 FIPS, com certificação FIPS 140-3 validada pelo NIST, destina-se a organismos públicos e setores regulados nos Estados Unidos que exigem esse nível de validação criptográfica. A YubiKey é também a única das três marcas construída para durar: a Yubico anuncia classificação IP68 (resistente a água e pó), corpo sem peças móveis e sem necessidade de bateria, já que a chave é alimentada pela própria porta USB ou pelo campo NFC do telemóvel.
Esta amplitude de modelos explica porque a YubiKey aparece com tanta frequência em políticas internas de segurança de empresas de tecnologia: uma única referência de compra cobre o funcionário que só precisa de FIDO2 para o email, o administrador de sistemas que assina commits com OpenPGP e o departamento financeiro que precisa de smart card PIV para aceder a sistemas internos. Essa flexibilidade tem um custo de decisão: com oito variantes disponíveis, escolher o modelo errado (por exemplo, uma YubiKey sem NFC para quem só usa telemóvel) é um erro de compra comum, por isso a Yubico disponibiliza uma ferramenta de comparação direta no seu site para cruzar porta, protocolo e preço antes de finalizar a encomenda.
Google Titan Security Key: a chave do ecossistema Google
A Titan Security Key é a resposta da Google ao mesmo problema, vendida diretamente na Google Store em dois formatos: USB-A com NFC (43,9 x 20,8 x 3,1 mm) e USB-C com NFC (50,9 x 18,5 x 7 mm) (Google Store). A chave foi desenhada sobretudo para quem já vive dentro do ecossistema Google: funciona com telemóveis Android, Chromebooks, tablets e, de forma mais relevante para jornalistas e ativistas, com o Programa de Proteção Avançada da Google, que bloqueia o acesso a contas sem uma das chaves físicas registadas previamente.
Em termos de protocolos, a Titan cobre FIDO2, FIDO U2F e WebAuthn, mas fica atrás da YubiKey em funcionalidades extra: não oferece suporte nativo a PIV, OpenPGP ou OATH-TOTP. Para a maioria das contas pessoais isso não faz diferença, mas afasta a Titan de cenários empresariais que precisam de smart card ou de geração de códigos OTP offline. A Google também não publica uma certificação FIPS 140-3 para a Titan nas suas páginas de produto, algo que pode pesar para compradores do setor público.
A proposta de valor da Titan não está em competir especificação a especificação com a YubiKey, mas em reduzir a decisão a um único gesto: comprar o pack com os dois formatos, registar as duas chaves no Programa de Proteção Avançada e nunca mais se preocupar com phishing direcionado a jornalistas, políticos ou outras pessoas em maior risco. A Google vende também separadamente cada formato fora do pack em alguns mercados, o que permite comprar apenas o conetor necessário sem pagar pelo segundo que talvez nunca venha a usar.
Feitian ePass: a alternativa económica fabricada na China
A Feitian Technologies é um fabricante chinês que vende as suas chaves FIDO2 diretamente e através de revendedores como a Amazon, a um preço consistentemente mais baixo do que os dois concorrentes anteriores. A gama ePass inclui o modelo K9 (USB-A com NFC), o K9 Plus (a mesma base mas com suporte adicional a PIV) e o K40 (USB-C com NFC), além de variantes biométricas na linha BioPass, como o K26 e o K27 (Feitian).
O K40 está certificado pela FIDO Alliance como FIDO U2F Level 1 e FIDO2 Level 1, usa comunicação USB HID e implementa algoritmos criptográficos padrão como ECDSA, SHA-256, AES, HMAC e ECDH. A carcaça combina policarbonato e liga de alumínio, com um botão tátil e um LED verde para confirmar a autenticação, e o fabricante indica uma gama de temperatura de funcionamento entre -10°C e 60°C. É uma chave mais simples do que a YubiKey (sem OpenPGP nativo na maioria dos modelos de entrada) mas cobre o essencial do FIDO2 e do U2F a uma fração do preço.
Para quem nunca ouviu falar da marca antes de ler este artigo, a Feitian não é uma recém-chegada ao setor. A empresa participa há vários anos nos programas de certificação da própria FIDO Alliance, o mesmo consórcio que certifica os protocolos usados pela YubiKey e pela Titan. A diferença de preço reflete sobretudo uma estratégia comercial mais agressiva e menos investimento em marketing fora da Ásia e dos Estados Unidos, não uma validação técnica inferior do protocolo FIDO2 em si.
Especificações técnicas lado a lado
A tabela seguinte junta as especificações mais relevantes dos modelos de entrada e topo de gama de cada marca, com base nas páginas oficiais de produto de cada fabricante.
| Característica | YubiKey 5 NFC / 5 Bio | Google Titan (USB-A/NFC) | Feitian ePass K9 / K40 |
|---|---|---|---|
| FIDO2 / WebAuthn | Sim | Sim | Sim |
| FIDO U2F | Sim | Sim | Sim |
| NFC | Sim | Sim | Sim (K9/K40 com NFC) |
| PIV (smart card) | Sim | Não | Só no K9 Plus |
| OpenPGP | Sim | Não | Não |
| OATH-HOTP / TOTP | Sim | Não | Limitado (consoante o modelo) |
| Biometria no dispositivo | Sim, na linha 5 Bio | Não | Sim, na linha BioPass K26/K27 |
| Certificação FIPS | FIPS 140-3 (linha FIPS) | Não publicada | Não publicada |
| Resistência | IP68, sem peças móveis | Não especificada pelo fabricante | Policarbonato e alumínio |
| Formatos disponíveis | USB-A, USB-C, Lightning, NFC | USB-A/NFC, USB-C/NFC | USB-A, USB-C, com e sem NFC |
| Fabricante / origem | Yubico (Suécia/EUA) | Google (desenhada nos EUA) | Feitian Technologies (China) |
Preços em 2026: quanto custa cada chave na Europa e nos EUA
Os preços variam bastante consoante a região e o formato. A Yubico aplica preços com IVA já incluído nas suas lojas regionais europeias, enquanto a Google e a Feitian cotam sobretudo em dólares nos seus canais principais. Eis os valores verificados nas páginas oficiais em 2026.
| Modelo | Preço (EUA, USD) | Preço (loja UE da Yubico, EUR com IVA) |
|---|---|---|
| YubiKey 5 NFC | 58 $ | 69,02 € |
| YubiKey 5C NFC | 58 $ | 69,02 € |
| YubiKey 5C | n/d | 77,35 € |
| YubiKey Bio Series (a partir de) | 98 $ | Preço regional na loja Yubico, tipicamente acima da série 5 standard |
| YubiKey 5 NFC FIPS (140-3) | 88 $ | 104,72 € |
| YubiKey 5Ci FIPS (140-3) | n/d | 138 € |
| Google Titan Security Key (pack USB-A/NFC + USB-C/NFC) | 65 $ | Venda via Google Store, preço regional |
| Feitian ePass K9 (USB-A, NFC) | 25 $ | Normalmente importado, sem loja oficial em euros |
| Feitian ePass K9 Plus (com PIV) | 28 $ | Normalmente importado |
| Feitian ePass K40 (USB-C, NFC) | Abaixo de 40 $, segundo revendedores | Normalmente importado |
Para equipas que precisam de distribuir dezenas de chaves, a Yubico vende tabuleiros de 50 unidades (por exemplo, a YubiKey 5C NFC em tabuleiro de 50 custa 3.451 € com IVA incluído na loja alemã, segundo a loja oficial da Yubico) e tem também um programa de subscrição empresarial, o YubiEnterprise, com planos anuais a partir de 15 dólares por utilizador no nível Base, subindo para 35 dólares no nível Advanced e 55 dólares no nível Compliance, válidos desde janeiro de 2026.
Vale notar um detalhe prático para quem compra a partir de Portugal: a Yubico tem lojas regionais europeias com preços em euros e IVA já incluído, o que simplifica a compra e a eventual troca em caso de defeito. A Google e a Feitian não têm o mesmo nível de distribuição direta na Europa, o que normalmente significa pedir através da loja norte-americana ou de um revendedor, com custos de envio e possíveis taxas alfandegárias a somar ao preço final em dólares.
Protocolos suportados: FIDO2, U2F, PIV, OpenPGP e OATH-TOTP
Todas as três marcas cumprem o mínimo que qualquer comprador deve exigir: certificação FIDO2 e FIDO U2F, compatível com o padrão WebAuthn usado por navegadores modernos e pela generalidade dos serviços online (Google, Microsoft, GitHub, bancos, redes sociais). A diferença aparece nos protocolos extra. A YubiKey continua a ser a única das três a cobrir PIV (cartão inteligente usado em ambientes corporativos e governamentais), OpenPGP (para assinar e cifrar email) e OATH-TOTP (para gerar códigos de seis dígitos offline, substituindo apps como o Google Authenticator).
A Titan e a maioria dos modelos de entrada da Feitian ficam-se pelo essencial: FIDO2, U2F e NFC. Isto não é necessariamente uma desvantagem para quem só quer proteger uma conta de email ou de rede social, mas torna-se relevante para administradores de sistemas que precisam de uma única chave física capaz de substituir cartões de acesso, certificados de email e aplicações de autenticação ao mesmo tempo. Quem já usa WebAuthn para implementar passkeys numa aplicação própria vai reconhecer que o protocolo subjacente é o mesmo nas três marcas, o que simplifica a integração do lado do programador independentemente da chave escolhida pelo utilizador final.
Há ainda uma diferença prática que raramente aparece nas folhas de especificações: o número de credenciais residentes que cada chave consegue guardar. As chaves FIDO2 mais recentes suportam passkeys descobríveis, ou seja, credenciais que ficam guardadas na própria chave em vez de dependerem só de um identificador enviado pelo servidor. A YubiKey 5 Series com firmware atualizado suporta várias dezenas de passkeys residentes, o suficiente para gerir múltiplas contas sem depender de sincronização na nuvem. A Titan e a generalidade das Feitian também suportam passkeys descobríveis, mas com limites de memória mais apertados, o que pode obrigar a escolher quais contas guardar diretamente na chave e quais manter apenas como segundo fator tradicional.
A falha EUCLEAK: o que aconteceu à YubiKey em 2024
Nenhum dispositivo de segurança é infalível, e a YubiKey teve a sua própria lição em 2024 com a vulnerabilidade batizada de EUCLEAK, catalogada como CVE-2024-45678 na base de dados do NIST. O problema afeta chaves YubiKey 5 Series com firmware anterior à versão 5.7.0 e dispositivos YubiHSM 2 com firmware anterior à versão 2.4.0, devido a uma biblioteca criptográfica da Infineon usada internamente. A falha permite, em teoria, extrair a chave privada ECDSA através de análise eletromagnética do dispositivo durante uma operação de assinatura.
A descoberta tem nome e data certa: o investigador francês Thomas Roche, do laboratório NinjaLab, publicou o relatório técnico a 3 de setembro de 2024, descrevendo como o canal lateral na implementação da Infineon permitia clonar a chave privada depois de analisar o comportamento eletromagnético do dispositivo durante várias assinaturas (NinjaLab, EUCLEAK). O relatório nota ainda que a MITRE, responsável por atribuir números CVE, recusou inicialmente reconhecer que outros produtos além da YubiKey 5 Series pudessem partilhar o mesmo risco, uma discordância que ainda hoje mantém a Google Titan e a Feitian fora da listagem oficial de produtos afetados.
O ponto importante para quem está a decidir qual chave comprar é o seguinte: o ataque exige posse física da chave durante um período prolongado e equipamento de laboratório especializado e caro. Não é um ataque remoto, não pode ser feito por alguém a milhares de quilómetros de distância e não compromete chaves com firmware já atualizado. A Yubico documentou a correção no aviso YSA-2024-03 e resolveu o problema a partir da versão 5.7.0. Até à data de publicação deste artigo não existe nenhum CVE equivalente, público e confirmado, específico para a Google Titan Security Key ou para as chaves Feitian, embora a base de dados do NIST note que outros produtos que usem a mesma biblioteca da Infineon possam, em teoria, partilhar o risco.
Compatibilidade com sistemas operativos e navegadores
As três chaves funcionam nos quatro grandes sistemas operativos (Windows, macOS, Android e iOS), mas vale a pena perceber onde a compatibilidade é mais uma questão do navegador ou da aplicação do que do próprio sistema operativo. O protocolo FIDO2/WebAuthn precisa de ser implementado pelo site ou pela aplicação que recebe a autenticação, não apenas pelo sistema operativo do dispositivo que a pessoa está a usar.
No Windows 10 e 11, o Windows Hello não substitui uma chave externa: funciona como autenticador independente, enquanto a chave FIDO2 é usada diretamente pelo site através do navegador. No macOS, a autenticação em sites via Safari, Chrome ou Firefox funciona bem com as três marcas, mas o login do próprio sistema ou o FileVault seguem fluxos separados que não dependem da chave USB. No Android, o suporte a USB, NFC e Bluetooth varia consoante o fabricante do telemóvel e a app usada, e no iOS e iPadOS a Apple é mais restritiva quanto ao transporte aceite em cada aplicação, o que torna o NFC a opção mais previsível para quem usa iPhone sem adaptador Lightning ou USB-C dedicado. Em nenhum dos quatro sistemas a EUCLEAK alterou esta compatibilidade geral: o problema estava no firmware da chave, não na forma como os sistemas operativos reconhecem dispositivos FIDO2.
Como registar uma chave FIDO2 num site
Do ponto de vista de um programador, as três marcas são indistinguíveis: todas falam o mesmo protocolo WebAuthn através do navegador. O excerto seguinte mostra o essencial de um pedido de registo de credencial no browser, o primeiro passo que qualquer site precisa de implementar para aceitar chaves físicas como método de autenticação.
const credential = await navigator.credentials.create({
publicKey: {
challenge: new Uint8Array(32), // gerado e validado no servidor
rp: { name: "Exemplo", id: "exemplo.pt" },
user: {
id: new TextEncoder().encode("utilizador-123"),
name: "[email protected]",
displayName: "Utilizador Exemplo"
},
pubKeyCredParams: [{ type: "public-key", alg: -7 }],
authenticatorSelection: { authenticatorAttachment: "cross-platform" },
timeout: 60000,
attestation: "direct"
}
});
// Enviar "credential" para o servidor para validar e guardar a chave públicaEste código funciona de forma idêntica quer o utilizador insira uma YubiKey, uma Titan ou uma Feitian, porque o campo authenticatorAttachment: "cross-platform" pede especificamente um autenticador externo em vez de um sensor biométrico embutido no computador. Depois de o navegador devolver a credencial, o servidor ainda precisa de confirmar três coisas antes de aceitar o registo: que o desafio (challenge) corresponde ao que foi gerado momentos antes, que a origem (origin) da pedido bate certo com o domínio esperado, e que a assinatura incluída na resposta é válida para a chave pública recebida. Só depois dessa verificação é que a chave pública fica associada à conta do utilizador na base de dados, pronta a ser usada em logins futuros sem repetir o registo. Quem quiser aprofundar a implementação completa, incluindo a validação da assinatura no servidor, pode consultar o guia sobre autenticação de dois fatores em Node.js já publicado neste site.
5 casos de uso reais: qual chave escolher consoante o perfil
Não existe uma resposta única. A escolha certa depende do que está a ser protegido e de quanto cada utilizador está disposto a gastar. Uma conta de email comprometida custa tempo e dor de cabeça a um particular, mas uma fuga de dados numa empresa já tem um preço estimado em milhões de euros segundo os relatórios anuais de custo de violações de dados que já analisámos em detalhe na comparação entre IBM, DBIR e ENISA. É esse contraste de risco que justifica recomendações diferentes consoante quem está a comprar a chave.
| Perfil | Chave recomendada | Porquê |
|---|---|---|
| Administrador de sistemas ou programador | YubiKey 5 Series | Precisa de PIV, OpenPGP e OATH-TOTP na mesma chave para gerir servidores, assinar commits e substituir apps de 2FA |
| Jornalista ou ativista em risco de vigilância | Google Titan | Integração direta com o Programa de Proteção Avançada da Google, pensado para contas de alto risco |
| Estudante ou utilizador doméstico com orçamento apertado | Feitian ePass K9 | Cobre FIDO2 e U2F a 25 dólares, suficiente para proteger email e redes sociais |
| Empresa com equipa de 50 ou mais pessoas | YubiKey em tabuleiro de 50 + YubiEnterprise | Desconto de volume, subscrição anual e gestão centralizada de dispositivos |
| Utilizador de carteira de criptomoedas | YubiKey 5 Bio ou 5 FIPS | Biometria local ou certificação FIPS para proteger chaves de acesso a exchanges e carteiras frias |
Guia de migração: de palavra-passe ou app de 2FA para uma chave física
A transição para uma chave física não obriga a abandonar tudo de uma vez. Este é o percurso mais seguro para quem já usa palavra-passe simples ou uma app de autenticação como o Google Authenticator.
- Escolher pelo menos duas chaves, nunca apenas uma: uma para uso diário e outra guardada num local seguro como chave de recuperação.
- Começar pela conta mais crítica, normalmente o email principal, porque é a partir dele que a maioria das outras contas pode ser recuperada.
- Abrir as definições de segurança da conta e procurar a opção “chave de segurança” ou “security key”, normalmente junto das definições de autenticação de dois fatores.
- Registar a primeira chave seguindo o fluxo da própria plataforma, inserindo a chave na porta USB ou aproximando-a do telemóvel via NFC quando pedido.
- Registar imediatamente a segunda chave de reserva antes de sair do ecrã de definições, para não ficar bloqueado caso a primeira se perca.
- Repetir o processo nas contas seguintes por ordem de importância: gestor de palavras-passe, banco online, redes sociais, plataformas de trabalho.
- Guardar os códigos de recuperação impressos ou gerados pela plataforma num local físico separado das duas chaves.
- Remover métodos de recuperação mais fracos, como SMS, sempre que a plataforma permitir desativá-los depois de confirmar que a chave funciona.
- Testar o acesso num dispositivo diferente do habitual antes de considerar a migração concluída.
Quem já usa uma app de autenticação (como o Google Authenticator ou o Microsoft Authenticator) pode manter a app como método de recuperação secundário durante algumas semanas, até ganhar confiança no novo fluxo com a chave física.
Prós e contras de cada marca
Depois de comparar especificações, preços e histórico de segurança, vale a pena resumir os pontos fortes e fracos de cada marca de forma direta, sem rodeios, para quem só quer uma resposta rápida antes de abrir a carteira.
YubiKey
- Prós: mais protocolos suportados, certificação FIPS 140-3 disponível, construção IP68, maior gama de formatos (incluindo Lightning para iPhone)
- Contras: preço mais alto, histórico de uma vulnerabilidade real (EUCLEAK) já corrigida, curva de aprendizagem maior para aproveitar todas as funções
Google Titan
- Prós: integração direta com o Programa de Proteção Avançada da Google, preço competitivo no pack com dois formatos, simples de configurar
- Contras: sem PIV, OpenPGP ou OATH-TOTP, sem certificação FIPS publicada, ecossistema mais fechado em torno de serviços Google
Feitian ePass
- Prós: preço claramente mais baixo (a partir de 25 dólares), certificação FIDO2 Level 1 e FIDO U2F Level 1, variante K9 Plus com PIV
- Contras: sem loja oficial em euros para o mercado português, menos modelos com biometria disponíveis fora dos EUA, menor reconhecimento de marca em ambientes corporativos europeus
O que dizem os especialistas sobre a adoção de chaves físicas
Andrew Shikiar, diretor executivo e CEO da FIDO Alliance, resumiu a mudança de paradigma que está a acontecer na autenticação online. Segundo Shikiar, “passkeys are moving into the mainstream because they deliver something the industry has struggled to achieve for decades: authentication that is both more secure and easier to use” (FIDO Alliance, maio de 2026). A própria organização reforça a mesma ideia de forma mais direta na sua página oficial sobre passkeys: “People and organizations are rapidly adopting passkeys” (FIDO Alliance).
Do lado do jornalismo tecnológico, a colunista Kim Komando descreve de forma simples onde as chaves físicas encaixam na estratégia de segurança pessoal de qualquer utilizador: “A dongle like a YubiKey or Google Titan Security Key can also securely hold passkeys offline” (PCWorld). A frase resume bem a vantagem central das três chaves analisadas neste artigo: a credencial nunca fica exposta na nuvem nem depende de um único telemóvel para funcionar.
Estas três citações, vindas de fontes diferentes (o organismo que define o protocolo, o seu próprio diretor executivo, e um meio de imprensa especializado em tecnologia de consumo), convergem na mesma conclusão prática: a questão já não é se vale a pena adotar autenticação sem palavra-passe, mas qual o dispositivo físico que melhor serve cada tipo de conta. Nenhuma das fontes citadas recomenda uma marca específica em detrimento de outra, o que reforça a ideia de que a escolha entre YubiKey, Titan e Feitian depende mais do perfil de uso do que de uma hierarquia de qualidade entre as três.
Erros comuns ao comprar ou configurar uma chave de segurança
O erro mais frequente é comprar uma única chave. Qualquer fabricante das três marcas recomenda registar sempre uma chave de reserva, porque uma chave física perdida ou danificada sem alternativa pode bloquear o acesso à própria conta de email, tornando toda a recuperação muito mais lenta do que o habitual “esqueci-me da palavra-passe”. O segundo erro é comprar o modelo errado para o telemóvel ou computador que a pessoa realmente usa: quem tem um iPhone mais antigo sem NFC exposto ao sistema de autenticação, por exemplo, deve confirmar o formato USB compatível com a porta do aparelho antes de finalizar a compra, em vez de assumir que a ligação sem fios vai funcionar em qualquer cenário.
Outro erro comum é ignorar o firmware da chave depois da compra. No caso da YubiKey, a correção da falha EUCLEAK só chegou a quem atualizou para a versão 5.7.0 ou posterior, e muitas chaves mais antigas continuam em circulação em segunda mão sem essa atualização aplicada. Antes de comprar uma YubiKey usada ou de um revendedor não oficial, vale a pena confirmar a versão de firmware através da aplicação YubiKey Manager da própria Yubico. Por fim, há quem configure a chave física mas se esqueça de desativar o SMS como método de recuperação, deixando uma porta mais fraca aberta exatamente ao lado da porta mais forte que acabou de instalar.
Veredito: qual comprar em 2026
A YubiKey continua a ser a escolha mais completa tecnicamente, e por isso é a que mais aparece em políticas de segurança corporativa e em recomendações de equipas de TI. O preço mais alto, entre 58 dólares e 138 euros consoante o modelo, paga-se com protocolos extra como PIV e OpenPGP e com a opção de certificação FIPS 140-3, algo que nem a Titan nem a Feitian oferecem atualmente. Para quem só precisa de proteger contas pessoais dentro do ecossistema Google, a Titan a 65 dólares pelo pack com dois formatos cumpre bem a função, sobretudo associada ao Programa de Proteção Avançada.
Já a Feitian ePass é a entrada mais barata no mundo das chaves físicas, a partir de 25 dólares, e cobre o essencial do FIDO2 e do U2F sem comprometer a certificação do protocolo em si. Falta-lhe o reconhecimento de marca e a disponibilidade direta em euros que a Yubico já tem na Europa, mas para um orçamento apertado continua a ser preferível a não ter nenhuma chave física. Com 75% das pessoas a já ter ativado pelo menos uma passkey em 2026 segundo a FIDO Alliance, o argumento contra comprar uma chave física por “ser complicado” já não se sustenta. A pergunta deixou de ser se vale a pena ter uma chave e passou a ser qual delas serve melhor cada conta.
Em resumo prático: quem gere infraestrutura, assina código ou trabalha em ambiente regulado ganha mais com a YubiKey, apesar do preço mais alto. Quem vive dentro do ecossistema Google e quer o mínimo de fricção, sobretudo em contas de alto risco, fica bem servido pela Titan. E quem só quer sair da dependência total da palavra-passe sem gastar muito, a Feitian cumpre a função a um preço que torna a desculpa do custo praticamente inválida. As três marcas partilham o mesmo protocolo de base, o que significa que trocar de uma para outra no futuro, caso as necessidades mudem, não obriga a recomeçar o processo de registo em todas as contas do zero, apenas a repetir o registo da nova chave nas contas que continuarem ativas.
Perguntas frequentes
Uma chave FIDO2 substitui totalmente a palavra-passe?
Depende do serviço. Em sites que suportam passkeys sem palavra-passe, a chave física pode substituir completamente a credencial tradicional. Noutros, a chave funciona apenas como segundo fator depois da palavra-passe, reforçando a proteção sem a eliminar.
O que acontece se eu perder a chave?
Por isso é recomendado registar sempre pelo menos duas chaves em cada conta importante. Se perder uma, a segunda continua a dar acesso e a chave perdida pode ser removida das definições de segurança da conta a partir de qualquer dispositivo já autenticado.
A vulnerabilidade EUCLEAK ainda afeta as YubiKey vendidas hoje?
Não. A Yubico corrigiu o problema a partir do firmware 5.7.0, e as chaves vendidas atualmente já incluem versões de firmware posteriores a essa correção. O ataque, de qualquer forma, exigia sempre posse física prolongada do dispositivo e equipamento especializado.
Posso usar a mesma chave física em várias contas diferentes?
Sim. Uma única chave FIDO2 pode ser registada em dezenas de contas diferentes, de serviços diferentes, porque cada registo gera um par de chaves criptográficas único por site, sem partilhar informação entre eles.
A Feitian é segura apesar de ser mais barata?
Os modelos analisados neste artigo têm certificação FIDO U2F Level 1 e FIDO2 Level 1, o mesmo tipo de validação exigida a qualquer fabricante que queira usar a marca FIDO. O preço mais baixo reflete sobretudo menos protocolos extra (como PIV ou OpenPGP) e não uma certificação inferior do protocolo principal.
Preciso de NFC na chave se já tenho USB-C no telemóvel?
Não é obrigatório, mas é prático. O NFC permite autenticar encostando a chave às costas do telemóvel, sem precisar de adaptadores, o que é especialmente útil em telemóveis sem porta USB-C exposta ou com a porta ocupada a carregar.
Vale a pena comprar a versão FIPS da YubiKey para uso pessoal?
Normalmente não. A certificação FIPS 140-3 destina-se a organismos públicos e setores regulados nos Estados Unidos. Para uso pessoal ou empresarial fora desse contexto, a YubiKey 5 Series standard, mais barata, oferece o mesmo nível prático de segurança no dia a dia.
Quanto tempo dura fisicamente uma chave de segurança?
A Yubico anuncia que as suas chaves não têm bateria nem peças móveis, o que na prática significa uma vida útil de muitos anos de uso normal, limitada sobretudo pelo desgaste da porta USB ou por dano físico acidental. A Feitian e a Titan seguem uma construção semelhante, sem componentes que se degradem com o tempo como acontece com baterias recarregáveis, pelo que o fator limitante tende a ser a perda do dispositivo e não o fim da sua vida útil.