Gerenciador de senhas e passkeys: Google, Apple, Bitwarden ou 1Password?

Uma senha reutilizada é o caminho mais curto entre um vazamento e a sua conta bancária: o golpista testa o par e-mail e senha vazado em outros serviços até um funcionar. O fascículo "Autenticação" do CERT.br resume o problema assim: basta o atacante descobrir a senha de uma conta para acessar todas as outras em que ela é usada. A saída é ter uma senha diferente para cada serviço, e ninguém memoriza cem senhas.

O gerenciador de senhas resolve isso guardando as credenciais em um cofre criptografado, protegido por uma senha mestra ou pela biometria do aparelho. Ele cria senhas aleatórias, preenche os formulários e avisa quando alguma aparece em vazamento. As passkeys vão além: substituem a senha por um par de chaves criptográficas que não pode ser digitado em uma página falsa.

As quatro opções mais comuns, lado a lado

Os dados abaixo foram conferidos nas páginas oficiais em outubro de 2026. Preços em dólar, cobrança anual; os valores em real variam com o câmbio e os impostos.

Duas mudanças recentes mexeram nesse mapa. A Apple transformou as senhas do iCloud em um aplicativo próprio, o Senhas, a partir do iOS 18 e do macOS Sequoia, com códigos de verificação, alertas de senhas vazadas e grupos compartilhados. E a Microsoft desligou o preenchimento de senhas do Microsoft Authenticator em 2025: segundo a página de suporte da empresa, a partir de meados de agosto daquele ano as senhas salvas deixaram de ficar acessíveis no aplicativo e passaram a ser usadas pelo Edge. O Authenticator segue gerando códigos e guardando passkeys.

Qual escolher: guia rápido por perfil

Você usa só Android e Chrome. O Gerenciador de Senhas do Google já está ativo na sua conta e cobre o essencial: gera senhas, preenche, guarda passkeys e avisa quando uma senha salva aparece publicada na internet. Abra passwords.google.com para ver o que já está salvo.

Você usa iPhone e Mac. O app Senhas faz o mesmo papel, com a vantagem de guardar os códigos de verificação de dois fatores no mesmo lugar. A sincronização é feita pelas Chaves do iCloud.

Você mistura Android, iPhone e Windows, ou divide senhas com a família em aparelhos diferentes. Aqui os gerenciadores dos fabricantes começam a falhar, porque cada um prefere seu próprio ecossistema. Um gerenciador independente, como Bitwarden ou 1Password, funciona igual em todos os sistemas. O Bitwarden tem plano gratuito com senhas e dispositivos ilimitados; o 1Password é pago, com teste gratuito.

Você cuida das contas de uma pequena empresa. Prefira um gerenciador com cofres compartilhados por equipe e controle de quem acessa o quê, para não espalhar senhas por planilha e WhatsApp. Ative no próprio gerenciador a verificação em duas etapas com chave física ou passkey.

Você não quer instalar nada. O CERT.br aceita outras formas de guardar senhas, como anotá-las em papel guardado em local seguro ou gravá-las em arquivo criptografado. É melhor do que repetir a mesma senha em todo lugar.

O que olhar antes de confiar seu cofre a alguém

• Criptografia de ponta a ponta: o fornecedor não deve conseguir ler suas senhas. O incidente da LastPass mostra por que isso importa: em dezembro de 2022, a empresa informou que criminosos copiaram cofres de clientes. Senhas e notas estavam criptografadas com AES de 256 bits, mas os endereços dos sites estavam em texto aberto, e a segurança de cada cofre passou a depender da força da senha mestra.
• Senha mestra forte e exclusiva: ela nunca deve ser usada em outro lugar. Uma frase longa de palavras aleatórias é mais fácil de lembrar e mais difícil de quebrar.
• Verificação em duas etapas no próprio gerenciador, de preferência com passkey ou chave física. Veja os métodos em verificação em duas etapas.
• Recuperação: muitos gerenciadores não conseguem recuperar a senha mestra, por desenho. Descubra antes como funciona o kit de emergência ou o contato de recuperação.
• Exportação: confira se dá para exportar o cofre, caso queira trocar de serviço.

Como criar senhas que ainda fazem sentido em 2026

A revisão das diretrizes de autenticação do NIST, órgão de padrões dos Estados Unidos, publicada em agosto de 2025 (SP 800-63B-4), mudou algumas regras antigas:

• senhas usadas sozinhas devem ter no mínimo 15 caracteres;
• serviços não devem exigir combinações obrigatórias de símbolos, números e maiúsculas;
• serviços não devem forçar troca periódica, só quando houver indício de comprometimento;
• novas senhas devem ser conferidas contra listas de senhas comuns e vazadas.

Para quem usa gerenciador, a regra prática é deixar o gerador criar senhas longas e aleatórias e só memorizar a senha mestra. Para a senha mestra, o CERT.br sugere, por exemplo, três palavras aleatórias, sem sequências de teclado nem dados pessoais.

Passkeys: o que muda na prática

Passkey (chave de acesso, no Google; chave-senha, na Apple) é uma credencial baseada nos padrões FIDO. Quando você cria uma, o aparelho gera um par de chaves: a pública fica no site, a privada fica com você. No login, o site manda um desafio e o aparelho responde com uma assinatura, liberada pela digital, pelo rosto ou pelo bloqueio de tela.

Isso traz três ganhos:

• Não há o que digitar, então não há o que entregar em uma página falsa. Segundo a FIDO Alliance, cada passkey é vinculada ao site em que foi criada e não funciona em outro domínio. Veja como as páginas falsas operam em como identificar phishing.
• Vazamento do site não expõe a passkey, porque o servidor guarda só a chave pública.
• Login mais rápido. No Google, segundo a página de ajuda, criar uma passkey torna o login sem senha o padrão, e o uso da passkey dispensa a segunda etapa.

Há dois tipos. As sincronizadas ficam no gerenciador (Google, Apple, Bitwarden, 1Password) e passam para um celular novo quando você entra na conta. As vinculadas ao dispositivo, como as gravadas em uma chave física FIDO2, nunca saem do aparelho, e a FIDO Alliance as indica para quem precisa de mais garantia. A perda exige outro método de entrada.

Onde já dá para usar no Brasil, entre serviços com página oficial conferida: Conta Google (myaccount.google.com/signinoptions/passkeys), Conta Apple e WhatsApp (Configurações > Conta > Passkeys). Em agosto de 2026, o WhatsApp informou que mais de 1 bilhão de pessoas já tinham configurado uma passkey no aplicativo.

Um cuidado do próprio Google: crie passkeys apenas em aparelhos que são seus. Quem consegue desbloquear o aparelho consegue usar a passkey.

Migração em uma tarde

1. Escolha o gerenciador pelo guia acima e proteja a conta dele com senha mestra forte e verificação em duas etapas.
2. Importe as senhas salvas no navegador. Os gerenciadores aceitam arquivo CSV exportado do Chrome, Edge ou Safari. A Microsoft alerta que, enquanto estiver em CSV, a senha fica visível para qualquer um que tenha o arquivo: importe e apague o arquivo em seguida, inclusive da lixeira.
3. Desative o salvamento de senhas no navegador que você não vai mais usar, para não ficar com dois cofres desatualizados.
4. Troque primeiro as senhas das contas-chave: e-mail principal, banco, gov.br, nuvem e redes sociais, usando o gerador.
5. Crie passkeys onde o serviço oferecer, começando pelo Google ou pela Apple.
6. Abra o relatório de segurança do gerenciador e troque as senhas que ele marcar como repetidas, fracas ou vazadas, aos poucos.

O gerenciador é uma das camadas do plano de segurança digital. Com ele em ordem, a próxima porta a fechar é o celular e o backup.

Fontes

• CERT.br. Fascículo Autenticação.
• NIST. SP 800-63B-4: Authentication and Authenticator Management.
• FIDO Alliance. Passkeys.
• Google. Gerenciador de Senhas do Google.
• Google. Fazer login com uma chave de acesso em vez de uma senha.
• Apple. Usar o app Senhas.
• Microsoft. Changes to Microsoft Authenticator autofill.
• Microsoft. Import passwords into the Microsoft Authenticator app.
• Bitwarden. Pricing.
• 1Password. Pricing.
• LastPass. Notice of Recent Security Incident (22 dez. 2022).
• WhatsApp. One billion people are now protected with passkeys on WhatsApp (25 ago. 2026).