Como obter alta adoção de chaves de acesso nos fluxos de login

1. Introdução#

Já discutimos a otimização dos fluxos de criação de chaves de acesso, o primeiro passo fundamental para uma adoção bem-sucedida das chaves de acesso. No entanto, após a criação, é essencial garantir que os utilizadores escolham consistentemente as chaves de acesso como o seu método de login preferido. Neste artigo, mudamos o nosso foco para melhorar as taxas de login com chaves de acesso - a chave para alcançar uma adoção significativa das chaves de acesso na prática. Especificamente, responderemos às seguintes perguntas:

• Quais são as melhores práticas para otimizar as taxas de login com chaves de acesso?
• Como as empresas podem incentivar efetivamente o uso consistente de chaves de acesso em grande escala?

Aprenderá estratégias comprovadas e abordagens práticas adaptadas a ambientes empresariais, permitindo que a sua organização faça com sucesso a transição dos utilizadores de passwords para chaves de acesso. Embora o nosso artigo anterior tenha abordado a criação de chaves de acesso e a inscrição inicial, este artigo foca-se especificamente em estratégias concebidas para otimizar o uso contínuo das chaves de acesso, garantindo que as chaves de acesso se tornem o principal método de autenticação para os seus utilizadores ao longo do tempo.

2. Por que a adoção de chaves de acesso importa mais que a implementação: Taxa de login com chaves de acesso#

Alcançar uma alta inscrição de chaves de acesso é apenas uma parte do quebra-cabeças; a taxa de login com chaves de acesso - a proporção do total de inícios de sessão que ocorrem via chaves de acesso em vez de métodos de contingência (fallback) - oferece a reflexão mais precisa do verdadeiro uso de chaves de acesso. Um sistema que gera registos de chaves de acesso, mas falha em ver essas chaves de acesso usadas na autenticação diária, fica aquém de entregar os prometidos benefícios de segurança e conveniência. Abaixo estão as considerações principais para entender por que o uso é tão crítico quanto a criação:

2.1 A taxa de login com chaves de acesso é a métrica definitiva de adoção#

Embora os novos registos de chaves de acesso sejam importantes, as organizações devem medir o sucesso da adoção através da quantidade de logins que realmente acontecem via chaves de acesso. Uma alta percentagem de uso de chaves de acesso / taxa de login com chaves de acesso correlaciona-se diretamente com menos redefinições de passwords, menores custos de OTP e melhor satisfação do utilizador. Para um acompanhamento detalhado destas métricas, consulte o nosso guia de análise de chaves de acesso.

2.2 Além dos totais brutos e contagens de criação de chaves de acesso#

Mesmo que uma plataforma relate centenas de milhares ou milhões de credenciais de chaves de acesso, esses números brutos não se traduzem necessariamente em uma forte atividade diária de chaves de acesso. A métrica central é a taxa de login com chaves de acesso, que é a proporção do total de inícios de sessão com chaves de acesso.

2.3 Diferentes níveis de complexidade de implementação#

Cada fluxo de login com chave de acesso, quer lance automaticamente o aviso da chave de acesso (identifier-first) ou ofereça um botão de chave de acesso separado, pode impactar significativamente a adesão do utilizador. Alguns fluxos exigem mais esforço para impulsionar a taxa de login com chaves de acesso.

2.4 Distinguindo a criação vs. uso contínuo#

Embora a jornada inicial do utilizador (prompts, mensagens, design da cerimónia) seja importante para a inscrição de chaves de acesso, manter o ímpeto exige fluxos pós-inscrição cuidadosamente otimizados. Não basta ter chaves de acesso "em arquivo" - lembretes contínuos, avisos sobre cobertura de dispositivos e uma experiência de login sem atritos são necessários para manter os níveis de uso altos, mas o fator mais importante é impulsionar o login com chaves de acesso de forma conveniente.

2.5 Comparando soluções faça-você-mesmo (DIY) vs. soluções de fornecedores: Qual é a taxa de login com chaves de acesso?#

Muitos fornecedores de soluções citam números impressionantes de criação ou "números de adoção indefinidos", mas a questão principal é a eficiência com que os seus sistemas convertem novas inscrições de chaves de acesso em logins diários com chaves de acesso. Nalguns casos, o volume absoluto de uso pode ser alto devido a uma grande base de utilizadores, mas a percentagem do total de logins atribuídos a chaves de acesso permanece baixa. Neste artigo, destacaremos as estratégias cruciais para garantir que os seus fluxos de login com chaves de acesso se traduzam numa utilização genuína e contínua de chaves de acesso, como preparação para se tornarem completamente passwordless.

Resumindo, aumentar a taxa de login com chaves de acesso é, em última análise, o que dita o sucesso de qualquer projeto de chaves de acesso. Ao aplicar fluxos de login bem planeados, lembretes consistentes aos utilizadores e gestão cuidadosa de alternativas (fallbacks), as empresas podem elevar o uso das chaves de acesso para 50% ou mais, abrindo caminho para substituir senhas verdadeiramente e experimentar os benefícios de um ecossistema passwordless.

3. Abordagens técnicas: Como as chaves de acesso podem ser usadas para login?#

Antes de aprofundarmos nas melhores práticas para otimizar a adoção de login com chaves de acesso, é importante delinear brevemente as diferentes abordagens técnicas disponíveis para integrar a autenticação baseada em chaves de acesso nos seus fluxos de login. Cada método tem pontos fortes e considerações distintas que influenciam as taxas gerais de adoção, a experiência do utilizador e a eficácia da segurança. Entender essas opções prepara o cenário para aplicar de forma eficaz as melhores práticas adaptadas ao seu caso de uso específico.

3.1 Conditional UI#

A Conditional UI permite que uma chave de acesso existente seja automaticamente sugerida durante o aviso de login, reduzindo significativamente o atrito, particularmente em plataformas móveis. Esta abordagem tira proveito das capacidades nativas da plataforma, melhorando a experiência do utilizador ao minimizar os passos necessários para iniciar a autenticação baseada em chaves de acesso. No entanto, tem limitações, especialmente quando várias contas estão associadas à mesma plataforma. Os utilizadores podem ficar confusos sobre a qual conta pertence a chave de acesso oferecida, potencialmente causando hesitação ou logins abortados. Além disso, embora a Conditional UI se integre de forma suave aos gestores de passwords, ela não é adotada universalmente. Os utilizadores podem abortar as solicitações da Conditional UI para verificar credenciais manualmente, indicando a necessidade de clareza ou segurança adicional no fluxo de login. A Conditional UI não é um mecanismo de autenticação autónomo; é considerado um complemento e deve ser combinado com o Login Automático com Chaves de Acesso ou a Abordagem de Botão de Chaves de Acesso.

3.2 Login Automático / Acionador com Chaves de Acesso (Fluxos Identifier-First)#

Nos fluxos identifier-first, os utilizadores inserem o seu identificador (como email ou nome de utilizador) e, se houver uma chave de acesso válida disponível, o processo de login é iniciado automaticamente. Referiremo-nos a este método também como acionamento automático (automatic triggering). Este método reduz significativamente o atrito, tornando o login quase sem esforço para os utilizadores com uma chave de acesso registada acessível no seu dispositivo atual. No entanto, a complexidade de implementação surge ao determinar a disponibilidade da chave de acesso em diferentes dispositivos e browsers, pois o padrão WebAuthn não suporta diretamente a deteção de chaves de acesso na web. Consequentemente, os fornecedores muitas vezes simplificam os mecanismos de deteção ou solicitam os utilizadores sempre, causando frustração no utilizador quando confrontado com opções inacessíveis, como códigos QR desnecessários, especialmente problemático para casos de uso onde os utilizadores têm vários dispositivos e uma combinação de dispositivos móveis, notebooks privados e de trabalho, e dispositivos familiares. Pode ser encontrado um artigo inteiro dedicado aos Fluxos Identifier-First aqui.

3.3 Abordagem de Botão de Chaves de Acesso (Evitar a Enumeração de Contas)#

A abordagem de botão de chaves de acesso envolve fornecer um botão dedicado e separado por baixo dos métodos de login tradicionais, solicitando explicitamente que os utilizadores iniciem manualmente a autenticação por chave de acesso. Este método resolve efetivamente as preocupações de enumeração de contas, porque as cerimónias de autenticação só prosseguem se existir uma chave de acesso válida no dispositivo do utilizador, impedindo assim fugas (leaks) de informação sobre a existência de contas ou credenciais. Embora direto e seguro, o principal inconveniente é o uso limitado por parte dos consumidores. Sem iniciar automaticamente o login com chave de acesso, os utilizadores normalmente recorrem a métodos baseados em passwords aos quais estão habituados. As empresas que adotam esta abordagem devem combiná-la com mensagens estratégicas, tais como avisos ou banners, para direcionar a atenção dos utilizadores para o uso das chaves de acesso e comunicar claramente os benefícios de conveniência e segurança que as chaves de acesso proporcionam. A Corbado utiliza o Passkey Intelligence e um botão de chave de acesso One-Tap para garantir uma alta adoção de login com chaves de acesso, mesmo neste cenário - mas falaremos mais sobre isso mais adiante no artigo.

3.4 Utilizar Chaves de Acesso como Segundo Fator#

Este método integra as chaves de acesso como um fator adicional após o utilizador ter-se autenticado inicialmente através de password. Após a introdução bem-sucedida da password, o utilizador escolhe entre as chaves de acesso e segundos fatores tradicionais, como SMS ou apps de autenticação. A principal vantagem desta abordagem é a interrupção mínima do processo de login existente, facilitando a introdução gradual das chaves de acesso pelas empresas sem exigir alterações significativas no comportamento do utilizador. No entanto, oferece poucas melhorias na UX e mantém os clientes ancorados na autenticação baseada em passwords, limitando assim a transição para um ambiente verdadeiramente passwordless. Consequentemente, esta abordagem é mais adequada para cenários conservadores ou orientados pela conformidade (compliance), onde é preferível introduzir as chaves de acesso gradualmente.

3.5 Abordagem Mobile-First (Chaves de Acesso Apenas em Dispositivos Móveis)#

A abordagem mobile-first utiliza exclusivamente chaves de acesso sincronizadas e disponíveis em dispositivos móveis. Ao iniciar sessão a partir de computadores de secretária (desktops), os utilizadores normalmente autenticam-se lendo códigos QR apresentados nos ecrãs para iniciar a criação da chave de acesso ou iniciar sessão através do dispositivo móvel. Esta estratégia é particularmente apelativa para instituições mobile-native ou neobancos que pretendem reduzir a complexidade ao alinhar-se com a sua experiência de utilizador existente, centrada em dispositivos móveis. No entanto, coloca significativamente a responsabilidade nos utilizadores, exigindo-lhes que usem consistentemente o seu dispositivo móvel para autenticação, o que pode introduzir atrito. A dependência de códigos QR também não é intuitiva para muitos utilizadores, o que pode prejudicar uma adoção mais ampla, a menos que seja complementada por orientações e educação de utilizadores claras e favoráveis. Até ao momento, esta abordagem apenas foi usada em implementações mais pequenas e não em grande escala.

4. Melhores Práticas para Logins com Chaves de Acesso#

Agora que explorámos as abordagens técnicas para integrar chaves de acesso em fluxos de login, vamos analisar como as grandes organizações como a Amazon, a Microsoft, a Google e o myGov implementaram com sucesso as chaves de acesso em grande escala. Ao examinarmos estes exemplos de grande escala, identificaremos as melhores práticas e insights práticos que podem orientar a sua empresa para alcançar uma elevada adoção de chaves de acesso e uma taxa de login com chaves de acesso consistentemente elevada.

4.1 Como a Amazon abordou os Logins com Chaves de Acesso?#

• Login Automático com Chaves de Acesso: Depois de os utilizadores introduzirem o seu e-mail, a Amazon inicia automaticamente um fluxo de chave de acesso se, provavelmente, estiver disponível uma chave de acesso válida no dispositivo. Como visível nas imagens acima, inicialmente não há nenhum botão para iniciar o login com uma chave de acesso; ele aparece mais tarde.
• Tratamento de Abortos pelo Utilizador: Quando um utilizador cancela ou o aviso da chave de acesso falha, o fluxo de login reverte para apresentar um botão de chave de acesso visível ou um fallback de password. Os utilizadores podem tentar novamente usar a chave de acesso a qualquer momento clicando em "Use passkey" (Usar chave de acesso) ou continuar com os fluxos de password existentes, se for realmente necessário.
• Conditional UI: Todos os ecrãs suportam preenchimento automático (autofill) e Conditional UI, mas, como observámos, alguns utilizadores saltam o autofill e introduzem manualmente o seu identificador.

4.2 Como a Microsoft abordou os Logins com Chaves de Acesso?#

• Chave de Acesso como Padrão: Assim que um utilizador introduz o seu e-mail, a Microsoft verifica se existe uma chave de acesso guardada para essa plataforma. Se for provável que esteja disponível, o sistema solicita automaticamente uma chave de acesso - acionando automaticamente a cerimónia WebAuthn (login automático).
• Fluxo Abortado e Backup com Password: Se um utilizador abortar a solicitação da chave de acesso ou não tiver uma chave de acesso válida nesse dispositivo, o sistema não transmite automaticamente para um fallback, mas sim apresenta a página de erro da chave de acesso onde podem ser usadas opções adicionais.
• Conditional UI: No live.com, a Microsoft não implementa atualmente a Conditional UI, possivelmente devido às complexidades associadas ao Acesso Condicional (Conditional Access) dentro do sistema Entra subjacente.

4.3 Como a Google abordou o Login com Chaves de Acesso?#

• Login Automático com Chaves de Acesso: Depois de os utilizadores introduzirem o seu e-mail, a Google também inicia automaticamente um fluxo de chave de acesso se for provável que esteja disponível uma chave de acesso válida no dispositivo. O login automático não é ativado em todos os casos relevantes, evitando-se o login por código QR.
• Tratamento de Abortos pelo Utilizador: Quando um utilizador cancela ou a solicitação da chave de acesso falha, o fluxo de login regressa a uma página de erro informativa que incentiva o utilizador a tentar o login novamente. Os utilizadores apenas podem voltar a tentar usar a chave de acesso após o segundo cancelamento, altura em que a Google melhora as mensagens de erro e inclui um breve questionário. Dedicámos um artigo inteiro aos melhores mecanismos de fallback.

• Conditional UI: Todos os ecrãs suportam agora a Conditional UI, embora a Google tenha lançado inicialmente a funcionalidade sem a mesma.

4.4 Como o myGov abordou o Login com Chaves de Acesso?#

• Botão de Chaves de Acesso Separado: O ecrã de login apresenta um discreto "Sign in with passkey" (Iniciar sessão com chave de acesso). Embora simples de implementar, esta abordagem depende de os utilizadores repararem e escolherem a opção da chave de acesso. Recentemente, a opção de login com chave de acesso foi movida para cima para aumentar a consciencialização do utilizador.
• Desativar Passwords: Depois de criar uma chave de acesso, os utilizadores podem desativar totalmente as passwords, o que constitui uma grande vantagem de segurança. Contudo, o fluxo de login reverte para SMS OTP caso as chaves de acesso não sejam explicitamente acionadas, o que pode causar confusão.
• Sem Conditional UI: Atualmente, o myGov não utiliza o autofill com chaves de acesso (Conditional UI) nas suas aplicações web ou nativas, perdendo a experiência de início de sessão de "um clique" e sem atritos para dispositivos compatíveis com chaves de acesso, o que é especialmente importante quando se utiliza a abordagem de Botão de Chaves de Acesso. Temos também uma análise completa da Implementação de Chaves de Acesso do myGov.

4.5 Resumo: Pontos Comuns e Factos Importantes#

Abaixo está uma comparação concisa de como a Amazon, a Microsoft, a Google e o myGov estruturam os seus fluxos de login com chaves de acesso, concentrando-se em saber se eles acionam automaticamente (autotrigger) as chaves de acesso (login automático) ou dependem de um botão de chave de acesso separado, a inteligência utilizada para verificar a disponibilidade de credenciais, se é aplicado um fator extra, o suporte à Conditional UI e o nível global de adoção de chaves de acesso alcançado por cada abordagem.

Principais Conclusões

1. Os Logins Automáticos com Chaves de Acesso Aumentam a Adoção
   A Amazon, a Microsoft e a Google confirmam que, uma vez que o utilizador introduza um identificador, o prompt automático para utilizar uma chave de acesso resulta em taxas de login com chaves de acesso mais altas - especialmente em dispositivos móveis. O myGov, por outro lado, mantém um botão de chave de acesso separado, reduzindo a utilização diária das chaves de acesso. Tal deve-se provavelmente a uma abordagem mais conservadora em relação à Enumeração de Contas.
2. Tratamento de Fallbacks
   Todas as soluções revertem para opções de fallback se o prompt da chave de acesso falhar ou for abortado, mas os detalhes variam (por exemplo, a Amazon fornece um botão de chave de acesso claro; a Microsoft mostra uma página de erro). Esta lógica de fallback deve permanecer intuitiva para manter a confiança do utilizador.
3. Conditional UI
   A Google e a Amazon utilizam a Conditional UI para reduzir o atrito sugerindo chaves de acesso automaticamente. A Microsoft não a implementa devido a complexidades internas do Entra. O myGov não incorpora qualquer interface de utilizador de autofill com chaves de acesso.
4. Impacto nos Requisitos de MFA
   Todos os exemplos, exceto a Amazon, dependem das chaves de acesso como fator de MFA autónomo. A única outra grande empresa que optou por tratar as chaves de acesso como fator único foi a Paypal, mas mudou de rumo nos EUA devido a taxas de fraude muito mais baixas com chaves de acesso. Embora, no seu caso, não a tenham tratado como substituição do primeiro fator (password), mas sim como substituição do segundo fator (SMS OTP).
5. Resultados de Adoção
   A Amazon, a Microsoft e a Google exibem, cada uma, altas taxas de login com chaves de acesso. A utilização no myGov fica atrás, prejudicada por um botão de chave de acesso discreto sem login automático com chaves de acesso.

Ao combinar deteção automática, inteligência de fallback e Conditional UI opcional, a Amazon, a Microsoft e a Google demonstram como promover consistentemente as chaves de acesso como principal método de login. Por outro lado, o myGov oferece um exemplo cautelar de como poderia ser uma abordagem mais simples baseada em botões e focada na segurança.

5. A Base: Login Automático vs. Botão de Chaves de Acesso#

Ao integrar chaves de acesso nos seus fluxos de login, destacam-se duas opções principais para a autenticação diária: o login automático (uma abordagem identifier-first) e um botão de chave de acesso dedicado e separado. Cada método oferece vantagens, desvantagens e experiências de utilizador distintas. Depois de implementar com sucesso fluxos de inscrição de chaves de acesso, o passo seguinte é garantir que os utilizadores iniciam sessão com chaves de acesso, em vez de recorrerem por defeito a credenciais de fallback. Abaixo, exploramos ambas as abordagens com mais detalhe antes de apresentar a solução One-Tap da Corbado.

5.1 Abordagem de Login Automático com Chaves de Acesso#

Os utilizadores introduzem o seu identificador (ex.: email ou nome de utilizador) e, se o sistema detetar que uma chave de acesso válida está provavelmente disponível neste dispositivo ou plataforma, ele inicia automaticamente o fluxo da chave de acesso. Em vez de exigir uma seleção manual (ex.: "Clique aqui para usar uma chave de acesso"), o utilizador é guiado suavemente para iniciar sessão com biometria (ou um PIN) se a chave de acesso estiver disponível e acessível.

Vantagens

1. Início de Sessão Sem Atritos (Seamless): O login automático reduz drasticamente o atrito no uso da chave de acesso - os utilizadores simplesmente digitam o seu email e um prompt de chave de acesso aparece.
2. Alta Taxa de Login com Chaves de Acesso: Como o uso da chave de acesso é o método padrão quando disponível, a proporção diária de logins via chaves de acesso tende a ser alta (50% - 80% ou mais).
3. Redução de Custos de SMS OTP: Ao incentivar o uso da chave de acesso para autenticação diária, a dependência de OTPs por SMS ou email, que são dispendiosos, diminui, o que poupa custos operacionais.

Desafios

• Complexidade de Deteção: Determinar se uma chave de acesso realmente existe para um determinado utilizador num dispositivo específico é complexo porque a WebAuthn não fornece diretamente verificações de disponibilidade de chaves de acesso. Muitas soluções revertem para tentar sempre um fluxo automático, o que pode causar confusão se o utilizador não tiver realmente uma chave de acesso neste dispositivo, levando a impasses nos prompts do sistema operativo:

• Riscos de Enumeração de Contas: Ao solicitar primeiro o identificador do utilizador, deve-se mitigar o risco de revelar se aquele email está registado ou não. A implementação de deteção de bots, limitação de taxa (rate-limiting) e mensagens de "tratamento de erros" consistentes ajuda a resolver isso.

De forma global, um fluxo identifier-first que tenta automaticamente o início de sessão com uma chave de acesso é o maior motor para as altas taxas de login com chaves de acesso. Se a redução do atrito para o utilizador é a sua principal preocupação e a sua plataforma consegue suportar uma lógica avançada para lidar com graciosidade com o cenário "nenhuma chave de acesso encontrada", esta abordagem é muitas vezes a melhor da sua classe.

5.2 Abordagem de Botão Separado com Chaves de Acesso#

Um botão (ou link) separado "Sign in with Passkey" (Iniciar sessão com chave de acesso) aparece juntamente com as credenciais antigas (legacy). Em vez de iniciar automaticamente um fluxo de chave de acesso, o sistema espera até que o utilizador clique no botão da chave de acesso. Só nessa altura é que começa a cerimónia da chave de acesso, verificando se a mesma existe no dispositivo do utilizador.

Vantagens

1. Simplicidade de Implementação: É possível adicionar um botão de chave de acesso abaixo ou perto dos campos de nome de utilizador/password com o mínimo de interrupção nos fluxos existentes.
2. Sem Passo do Identificador: Os utilizadores que preferem chaves de acesso podem prosseguir diretamente com a autenticação por chave de acesso, evitando a introdução de email/nome de utilizador.
3. Evita Complexidade Extra: Não precisa de ter uma lógica avançada de deteção de dispositivos ou chaves de acesso, já que o utilizador está a escolher explicitamente o login com chave de acesso.

Desafios

1. Uso de Chaves de Acesso Mais Baixo: Na prática, muitos utilizadores ignoram o botão da chave de acesso por hábito ou por falta de familiaridade, regressando por defeito aos conhecidos fluxos de passwords ou OTPs — desta forma, a utilização de chaves de acesso mantém-se baixa.
2. Menos Poupanças com SMS OTP: Como as chaves de acesso continuam a ser opcionais ou "escondidas", as suas poupanças através da diminuição do uso de OTP serão mínimas.
3. Ganhos de Segurança Reduzidos: O sistema continua a depender de métodos de fallback mesmo quando uma chave de acesso pode existir, não conseguindo impulsionar novos comportamentos no sentido de uma utilização passwordless.

Em resumo, os botões de chaves de acesso são simples de implementar, mas tipicamente rendem baixas taxas de login com chaves de acesso. No entanto, podem servir de medida de transição ou de abordagem fallback para organizações preocupadas com a enumeração de contas ou que não disponham de infraestruturas para a deteção automática de chaves de acesso.

6. Estratégia de Login Avançada da Corbado: Alcançar Alta Adoção de Chaves de Acesso com Botões One-Tap e Passkey Intelligence#

Ao integrar chaves de acesso, muitas empresas ficam presas entre dois extremos imperfeitos:

• Login automático com chaves de acesso a cada introdução de email / nome de utilizador, o que pode originar prompts falsos, confusão do utilizador e Códigos QR.
• Oferecer apenas um botão de chave de acesso separado que os utilizadores contornam consistentemente por hábito, resultando num uso diário de chaves de acesso mínimo.

A Corbado faz a ponte entre estes dois extremos com o Passkey Intelligence e os Botões de Chave de Acesso One-Tap, dois aprimoramentos proprietários para grandes implementações que elevam o uso das chaves de acesso desde percentagens de um só dígito para mais de 50% e muitas vezes +80% de todos os logins e, ao mesmo tempo, impulsionam a taxa de sucesso do login para perto de 100%.

6.1 Abordagem de Login Automático de Chaves de Acesso com a Corbado#

O maior desafio com a abordagem automática é decidir quando iniciar um login automático, uma vez que tal depende de muitos fatores. A Corbado resolve isso com o seu motor de Passkey Intelligence.

6.1.1 O que é o Passkey Intelligence?#

O Passkey Intelligence é uma camada dinâmica que prevê se a chave de acesso do utilizador está provavelmente disponível no dispositivo ou ambiente atual. Usando sinais como:

• Dados do Dispositivo e do Browser: Versão do sistema operativo, capacidades do browser, suporte conhecido a chaves de acesso.
• Histórico do Utilizador: Logins bem-sucedidos no passado com chaves de acesso, uso de fallbacks, padrões de saltos neste ambiente e dispositivo.
• Indicadores de Risco: Frequência de tentativas, sinais de IP, ou mudanças no user agent.

6.1.2 Como o Passkey Intelligence resolve o Login Automático?#

O motor da Corbado decide se deve:

1. Acionar automaticamente o login com chave de acesso (semelhante à abordagem identifier-first).
2. Reverter graciosamente para fluxos de fallback se detetarmos que o fluxo da chave de acesso não deverá ser bem-sucedido (ex.: o dispositivo atual não tem uma chave de acesso e o dispositivo não é capaz de usar autenticação entre dispositivos).

Isso elimina adivinhações. Em vez de uma regra geral "tentar sempre as chaves de acesso", o seu sistema encoraja suavemente os utilizadores a usarem as chaves de acesso apenas quando o sucesso for provável, reduzindo a frustração e impulsionando a aceitação.

Em implementações do mundo real, o Passkey Intelligence demonstrou reduzir as taxas de erro em logins com chaves de acesso em mais de 95% em comparação com uma abordagem simples que inicia automaticamente todas as vezes.

6.2 Abordagem de Botão de Chaves de Acesso Separado com a Corbado#

O maior desafio com a abordagem do botão de chave de acesso separado é a taxa de utilização extremamente baixa. Os utilizadores simplesmente continuam a usar o formulário de login convencional que já lhes é familiar. Este problema é difícil de resolver porque esta abordagem é frequentemente escolhida para evitar a exposição da existência de uma conta, por motivos de segurança (enumeração de contas). A Corbado utiliza o Passkey Intelligence para resolver isto com o nosso Botão de Chaves de Acesso One-Tap.

6.2.1 Como funciona o Botão de Chaves de Acesso One-Tap?#

1. Login com Botão de Chaves de Acesso Separado: Se um utilizador inicia sessão com uma chave de acesso, a Corbado ativará o Botão de Chave de Acesso One-Tap para o próximo login. O Botão de Chave de Acesso One-Tap é também ativado se um utilizador criar uma chave de acesso depois de iniciar a sessão com métodos convencionais de login. O Botão de Chave de Acesso One-Tap é como um “lembrar o meu endereço de e-mail” para chaves de acesso.
2. Login com Password: Abordámos que uma grande desvantagem da abordagem do Botão de Chaves de Acesso separado é que os utilizadores não o usam proactivamente. Caso isso aconteça, o Passkey Intelligence deteta que o login poderia ter sido feito com uma chave de acesso e (re)ativa o Botão de Chave de Acesso One-Tap. Isto ajuda a difundir o Botão de Chave de Acesso One-Tap também nos novos dispositivos.
3. Logins Subsequentes: O Botão de Chave de Acesso One-Tap aparece automaticamente - sem entrada de e-mail em separado ou botão manual de chave de acesso necessário. Os utilizadores simplesmente dão um toque (tap) uma vez, validam com biometria, e estão logados.

6.2.2 Como o Botão de Chave de Acesso One-Tap melhora a adoção na Abordagem de Botão de Chave de Acesso Separado?#

A frustração do utilizador é minimizada com um menor número de cerimónias de login canceladas e com uma redução de 95% nos abortos em comparação com os métodos tradicionais identifier-first.

Esta abordagem muda o jogo (game-changer) para a adoção da abordagem do Botão de Chave de Acesso separado. Em implementações típicas de botões de chaves de acesso separados, o uso de chaves de acesso pode estagnar nos 5%.

Com os Botões de Chaves de Acesso One-Tap impulsionados pelo Passkey Intelligence, o mesmo fluxo pode ultrapassar 50% de quota de login com chaves de acesso numa questão de meses, quando acompanhado pela migração obrigatória para chaves de acesso. Dados internos mostram que 97% dos utilizadores que vêem um Botão de Chaves de Acesso One-Tap mantêm a sua utilização, revertendo raramente para passwords ou códigos MFA. Isto aumenta diretamente as conversões à medida que as chaves de acesso atingem um sucesso de login de 93% vs 63% no caso das passwords.

6.3 O USP da Corbado: Uma Abordagem Unificada de Alta Adoção#

Outras soluções podem lidar bem com a criação de chaves de acesso, mas falhar no que toca ao seu uso diário, deixando as organizações presas com taxas de adoção demasiado baixas para justificar a eliminação progressiva de passwords e sem os benefícios esperados. A Corbado resolve ambas as extremidades - inscrição nas chaves de acesso sem atritos além do uso diário estimulante com a mais alta taxa de login com chaves de acesso da indústria - tudo isto respeitando a autonomia do utilizador e as necessidades de fallback.

Principais Conclusões:

• Botão de Chaves de Acesso Separado sem a Corbado: Oferece segurança, mas uma adoção de login muito limitada e melhorias mínimas na experiência do utilizador.
• Login Automático com Chaves de Acesso sem a Corbado: Melhora o uso, mas causa confusão por iniciar solicitações de chaves de acesso em dispositivos que não têm acesso às chaves do utilizador, levando a confusão, códigos QR e becos sem saída.
• Botão de Chaves de Acesso One-Tap + Passkey Intelligence da Corbado: Entrega as mais altas taxas de login da indústria, reduz drasticamente o atrito do utilizador e aumenta a aderência das chaves de acesso tanto no login automático como no botão de chaves de acesso.

Tirando partido do Passkey Intelligence combinado com o Botão de Chaves de Acesso One-Tap, a Corbado transforma as implementações de chaves de acesso de meras opções numa checklist em soluções altamente eficazes que entregam valor mensurável e segurança aprimorada em grande escala.

7. Medir o Sucesso das Implementações de Chaves de Acesso: Garantimos Altas Taxas de Login com Chaves de Acesso#

Somos fortes crentes de que só a adoção torna um projeto de chaves de acesso bem-sucedido, por isso, recomendamos vivamente a avaliação das soluções de fornecedores e in-house com base nas suas garantias em relação a duas métricas-chave: Taxa de Ativação do Utilizador e Taxa de Login com Chaves de Acesso. Estes KPIs fornecem um indicador direto sobre a adoção no mundo real e no envolvimento contínuo do utilizador com as chaves de acesso, garantindo que a solução escolhida entrega os benefícios de segurança e conveniência prometidos. Também incluímos os KPIs mais importantes aqui para fornecer uma visão geral; entrar em detalhes não faz parte deste artigo, mas pode encontrar mais pormenores no nosso Guia de Buy vs. Build.

Se precisar de ajuda a realizar o benchmarking da sua solução atual ou se não tiver certeza sobre que KPIs definir como objetivo, entre em contacto connosco para uma consulta gratuita.

8. Conclusão#

As chaves de acesso contêm uma tremenda promessa para a criação de experiências de autenticação contínuas e seguras, mas simplesmente oferecê-las não garante uma adoção generalizada. Alcançar uma elevada taxa de login com chaves de acesso requer uma abordagem estratégica assente em fluxos de utilizadores inteligentes, incentivos (nudges) no momento certo e tecnologia que elimine o atrito nos inícios de sessão diários. Com a abordagem certa, as empresas conseguem facilmente ultrapassar os 50% de utilização de chaves de acesso no login e muitas vezes escalar para 80% ou mais.

• Quais são as melhores práticas para otimizar as taxas de login com chaves de acesso?
  As altas taxas de login com chaves de acesso dependem de reduzir o atrito e de maximizar a visibilidade para os utilizadores. Técnicas como o acionamento automático (autotrigger) de chaves de acesso (identifier-first), solicitações (prompts) contextuais de chaves de acesso e oferecendo inícios de sessão One-Tap ajudam a impulsionar a utilização diária das chaves de acesso.
• Como as empresas podem incentivar efetivamente o uso consistente de chaves de acesso em grande escala?
  O uso consistente prospera por intermédio de fallbacks geridos com cuidado, pela educação do utilizador e pela estratégia tecnológica. Ao analisar os dispositivos, o histórico dos utilizadores e os sinais de risco (como o Passkey Intelligence da Corbado faz), consegue orientar os utilizadores com precisão para as chaves de acesso sempre que o sucesso for provável, impulsionando a adoção contínua.

A Vantagem da Corbado: Uma Abordagem Unificada de Adoção

A maioria das soluções de chaves de acesso assegura apenas o correto registo WebAuthn. A Corbado encerra o ciclo, ao combinar:

1. Passkey Intelligence
   Prompts inteligentes detetam quando o dispositivo do utilizador tem chaves de acesso disponíveis e acessíveis, acionando fluxos de forma automática só se for provável ter sucesso, eliminando falsos inícios e confusão.
2. One-Tap para Fluxo Identifier-First e Botão de Chave de Acesso
   Os utilizadores já não têm de “escolher as chaves de acesso”. Depois de um login convencional, a Corbado transita sem falhas inícios de sessão futuros num simples clique (one-tap) para a autenticação biométrica. Dados do mundo real evidenciam que mais de 97% dos utilizadores permanecem no One-Tap após o visualizarem a primeira vez.

O resultado? 50–80% dos logins utilizam chaves de acesso em questão de meses, diminuindo radicalmente o uso de OTP, cortando os vetores de phishing, bem como disponibilizando a vantagem que a experiência das chaves de acesso promete a qualquer utilizador.

Pronto para Transformar a sua Experiência de Login?

A Plataforma Enterprise da Corbado e a respetiva perícia prática habilitam-no a:

• Implementar as chaves de acesso sem afetar os workflows existentes.
• Otimizar o uso diário de chaves de acesso por intermédio de prompts inteligentes e pelo One-Tap.
• Validar o ROI graças a saltos que se podem medir na taxa de login com chaves de acesso e a um menor recurso às SMS OTP. Consulte o nosso manual de métricas analíticas de autenticação (authentication analytics playbook) para obter o modelo de medição na íntegra.
• Migrar a sua base de clientes das passwords para as chaves de acesso sem abdicar dos fallbacks devidos.

Caso esteja focado em sair do indesejável dígito único na percentagem da taxa de login com as chaves de acesso, reduzindo as enormes despesas com o custo suplementar associado às SMS OTP, pode e deve contar com a nossa equipa. Entre em contacto hoje mesmo para obter uma consulta a fim de colocar a sua organização na direção do que é um futuro verdadeiramente passwordless, sustentado pelas testadas e comprovadas estratégias de adoção de chaves de acesso da Corbado.

Sobre a Corbado

Corbado é a Passkey Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login — tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (+80% de ativação de passkey). Fale com um especialista em Passkeys →