Passkeys substituem a senha tradicional por um par de chaves criptográficas, validado por biometria ou PIN do dispositivo. É a tentativa mais séria da indústria de acabar com a senha — e como programador que já lidou com autenticação via JWT e sessão, vejo isso como uma mudança real, não só marketing.
Por que isso resolve um problema real
A maioria das falhas de segurança que vejo em sistema legado não vem de criptografia fraca — vem de senha reaproveitada, phishing, ou vazamento de banco de dado com hash mal feito. Passkeys eliminam a senha como vetor de ataque inteiro, porque não existe segredo compartilhado pra vazar.
O desafio de implementar
Migrar um sistema existente pra passkeys exige manter os dois métodos funcionando em paralelo por um bom tempo, já que nem todo usuário tem dispositivo compatível. É um trabalho de migração gradual, parecido com qualquer migração de banco sem quebrar produção: sem atalho, com plano de rollback.
Onde já recomendo adotar
Em qualquer sistema novo que estou construindo do zero, ofereço passkey como opção principal de login desde o início — é mais simples pro usuário e mais seguro pro sistema, sem o custo de migrar uma base de usuário existente.
