# De SMS OTP a chaves de acesso em 2026: o que o WebAuthn substitui e o que o SMS ainda faz

> As chaves de acesso estão a substituir as palavras-passe e os códigos de uso único para login. Mas o SMS não desaparece — ele muda de função. Aqui está a arquitetura de autenticação de 2026: onde o WebAuthn vence e as funções de verificação e recuperação que o SMS mantém.

- URL canônico: https://www.broadnet.me/pt/blog/sms-otp-to-passkeys-webauthn-2026
- Idioma: pt
- Última atualização: 2026-10-20
- Editor: BroadNet (https://www.broadnet.me)

- Publicado em: 2026-07-09
- Autor: BroadNet Editorial Team

As chaves de acesso são credenciais WebAuthn/FIDO2 que substituem palavras-passe e códigos de uso único por encriptação de chave pública vinculada ao dispositivo, de forma que nenhuma informação vulnerável a phishing seja digitada ou transmitida. Em 2026, elas substituirão o SMS OTP para login de contas, enquanto o SMS continuará a ser um canal alternativo e de revalidação onde a cobertura das chaves de acesso, a recuperação de conta ou o login entre dispositivos ainda forem insuficientes.

## O que é, de facto, uma chave de acesso?

Uma chave de acesso é uma credencial definida pelo padrão de Autenticação Web (WebAuthn) da W3C e pelas especificações FIDO2 da FIDO Alliance. Quando um utilizador se regista, o dispositivo gera um par de chaves pública/privada: a chave privada nunca sai do autenticador (um telefone, laptop ou chave de hardware) e é desbloqueada com biometria local ou PIN; a chave pública é armazenada pelo site. O login é um processo criptográfico de desafio-resposta, portanto, não há segredo partilhado que possa ser roubado, usado em phishing ou replicado.

Existem dois tipos. As chaves de acesso sincronizadas são partilhadas entre os dispositivos do utilizador por meio de um chaveiro da plataforma, o que resolve o problema de perda e recuperação que limitava as chaves de hardware. As chaves de acesso vinculadas ao dispositivo permanecem num único autenticador e são adequadas para os casos de maior segurança. Ambas são resistentes a phishing porque a credencial é criptograficamente restrita ao site exato para o qual foi criada — ela não será liberada para um domínio semelhante.

## Porque o setor abandonou o SMS OTP?

As palavras-passe de uso único por SMS apresentam uma falha estrutural: o segredo é um código curto que pode ser induzido a revelar por engano, e o meio de transporte nunca foi projetado para ser resistente a phishing. Diversos fatores convergiram para afastar os fluxos de alta segurança desse método.

- A publicação NIST SP 800-63-4, finalizada em julho de 2025, classifica os códigos de acesso únicos enviados por SMS como um autenticador restrito que, por si só, não atende aos requisitos de autenticação AAL2 resistente a phishing.
- A FIDO Alliance defende que as chaves de acesso são resistentes a phishing por natureza, pois as credenciais não podem ser divulgadas a uma origem fraudulenta.
- A fraude de troca de SIM e interceção de OTP permite que os atacantes recebam códigos sem que a vítima tenha acesso ao dispositivo — uma ameaça que as chaves de acesso eliminam estruturalmente.
- O envio de SMS (tráfego artificialmente inflado) transformou cada envio de OTP numa superfície de ataque faturável, adicionando um incentivo de custo direto para reduzir o volume de OTPs.

## Palavras-passe eletrónicas versus SMS OTP, lado a lado

| Dimensão | SMS OTP | Palavra-passe (WebAuthn/FIDO2) |
|---|---|---|
| Modelo secreto | Código partilhado, inserido por humanos | Chave privada, nunca transmitida. |
| Resistência ao phishing | O código Low-Code pode ser alvo de engenharia social. | Credencial de alto nível vinculada à origem |
| Exposição à troca de SIM | Vulnerável | Não aplicável — sem dependência de número de telefone |
| Atrito do utilizador | Aguarde, leia e digite um código. | Um gesto biométrico/PIN |
| Alcançar | Universal — qualquer aparelho com sinal. | Requer um dispositivo compatível e registado. |
| Melhor papel | Recuo, recuperação e re-verificação | Login da conta principal |

A questão é o equilíbrio entre alcance e resistência. Uma palavra-passe eletrónica é mais robusta, mas exige que o utilizador tenha registado um dispositivo compatível e o tenha em mãos; o SMS alcança qualquer telefone com sinal, mas apresenta as mesmas desvantagens. Essa diferença é exatamente o motivo pelo qual os dois métodos coexistem, em vez de um simplesmente eliminar o outro.

## O que o SMS ainda faz num mundo de palavras-passe

Remover o SMS OTP do login principal não remove o SMS da pilha de autenticação. A sua função muda: de ser a credencial em si para dar suporte ao ciclo de vida da credencial e suprir as lacunas deixadas pelas chaves de acesso.

1. Recuperação de conta — quando um utilizador perde todos os dispositivos que contêm uma chave de acesso, um número de telefone verificado é um caminho de recuperação comum e bem conhecido para aceder à conta.
2. Inicialização entre dispositivos — a confirmação de um número de telefone ajuda a configurar um novo dispositivo antes que uma chave de acesso seja registada nele.
3. Alternativa para utilizadores não registados — utilizadores que ainda não criaram uma palavra-passe ou que estão a usar um dispositivo emprestado ainda precisam de um método de login funcional.
4. Aumento de segurança e re-verificação — um segundo sinal para uma ação de risco, adicionado à chave de acesso em vez de substituí-la.
5. Notificações e alertas transacionais — atualizações de entrega, alertas de fraude e confirmações que, na verdade, nunca foram autenticação.

> A solução [OTP e verificação](https://www.broadnet.me/products/otp) da BroadNet utiliza primeiro a Autenticação Silenciosa de Rede com fallback automático por SMS, de forma que, onde ainda for necessário um fator de número de telefone — recuperação, inicialização ou reforço —, você obtém uma verificação de rede resistente a phishing onde as operadoras a suportam e alcance garantido de SMS em todos os outros lugares, a partir de uma única integração.

## Como sequenciar a migração

Classifique os fluxos de acordo com a necessidade de segurança em primeiro lugar. Mova o login principal para contas sensíveis para palavras-passe, mantenha o fator número de telefone para recuperação e utilizadores não registados e trate o SMS como a função de menor segurança que os padrões agora descrevem, em vez de como a porta de entrada principal. Se você ainda estiver a projetar a camada de número de telefone, a nossa resposta sobre [o que é OTP](https://www.broadnet.me/answers/what-is-otp) apresenta as opções, a [verificação de número](https://www.broadnet.me/answers/number-verification) explica a alternativa baseada em rede aos códigos e a solução completa de verificação [MyOTP](https://www.broadnet.me/products/myotp) da BroadNet lida com a entrega de fallback para que você possa se concentrar na implementação das palavras-passe.

## Perguntas frequentes

### As chaves de acesso substituem completamente as palavras-passe de uso único enviadas por SMS?

Não completamente. As chaves de acesso substituem o SMS OTP para login principal, mas o SMS continua a desempenhar um papel na recuperação de conta, inicialização entre dispositivos, verificação adicional e para alcançar utilizadores que não registaram uma chave de acesso. Em 2026, o padrão realista é a autenticação prioritária por chave de acesso, com o número de telefone mantido como fator de segurança alternativo, em vez da credencial principal.

### As chaves de acesso são resistentes a phishing?

Sim. Uma chave de acesso é criptograficamente vinculada à origem exata para a qual foi criada, portanto, não revelará a sua assinatura para um domínio falso ou fraudulento — o mecanismo que permite ataques de phishing e do tipo "homem no meio" é removido. A FIDO Alliance e o W3C WebAuthn projetam chaves de acesso para serem resistentes a phishing por natureza, o que não ocorre com o SMS OTP.

### O que acontece com o SMS OTP para recuperação de conta?

Geralmente permanece assim. Quando um utilizador perde todos os dispositivos que contêm as suas chaves de acesso, um número de telefone pré-verificado é um método de recuperação amplamente utilizado. A principal mudança está no âmbito: o SMS é usado para restabelecer o acesso mediante verificações adicionais, e não como o método de login principal, portanto, a sua exposição a phishing e pumping fica restrita a um fluxo limitado e monitorizado.

### O NIST ainda permite o uso de SMS para autenticação?

O envio de SMS é permitido, mas restrito. A publicação NIST SP 800-63-4 (finalizada em julho de 2025) trata os códigos de acesso únicos enviados por SMS como um método de autenticação restrito que, por si só, não atende ao nível de segurança AAL2 de resistência a phishing. Ainda assim, pode servir como um fator de segurança inferior ou de contingência, função que desempenha juntamente com as chaves de acesso.

## Referências

- FIDO Alliance — Visão geral das chaves de acesso: [fidoalliance.org](https://fidoalliance.org/passkeys/)
- W3C — Autenticação Web (WebAuthn) Nível 3: [w3.org](https://www.w3.org/TR/webauthn-3/)
- NIST — SP 800-63-4 Diretrizes de Identidade Digital (final, julho de 2025): [csrc.nist.gov](https://csrc.nist.gov/pubs/sp/800/63/4/final)
- IETF — RFC 6238, TOTP: Algoritmo de palavra-passe única baseada em tempo: [datatracker.ietf.org](https://datatracker.ietf.org/doc/html/rfc6238)