--- url: 'https://www.corbado.com/pt/blog/fornecedores-passkeys' title: 'Provedores de Chaves de Acesso: Diferentes Tipos, AAGUID e Adoção' description: 'Entenda as diferenças entre provedores de chaves de acesso first-party, third-party e provedores de autenticação, além do AAGUID, para Android, iOS e Web.' lang: 'pt' author: 'Vincent Delitz' date: '2025-12-17T17:23:04.314Z' lastModified: '2026-08-29T06:03:05.052Z' keywords: 'provedor de chave de acesso, provedores de chaves de acesso, provedor first-party, provedor third-party, AAGUID' category: 'WebAuthn Know-How' --- # Provedores de Chaves de Acesso: Diferentes Tipos, AAGUID e Adoção ## Key Facts - Existem duas categorias principais: **provedores de chaves de acesso first-/third-party** (lado do cliente, no dispositivo) e **provedores de autenticação de chaves de acesso** (lado do servidor, como a Corbado se integrando a aplicativos). - **Provedores de chaves de acesso first-party** são sistemas nativos do sistema operacional, como o iCloud Keychain e o Google Password Manager; provedores third-party são gerenciadores de senhas que se integram por meio de APIs da plataforma. - Cada provedor de chaves de acesso carrega um **AAGUID** (Authenticator Attestation Globally Unique Identifier) exclusivo incorporado aos dados da credencial, permitindo que as partes confiáveis (relying parties) identifiquem e rotulem as chaves de acesso nas configurações da conta. - A opção **excludeCredentials** do WebAuthn impede que os usuários registrem várias chaves de acesso para o mesmo provedor, reduzindo a confusão e melhorando a experiência do usuário (UX) no gerenciamento de contas. - A partir de março de 2024, algumas plataformas não oferecem suporte a **attestation** (atestado), o que significa que os valores de AAGUID nessas plataformas não podem ser verificados criptograficamente e devem ser usados com cautela. ## 1. Introdução Ao usar [chaves de acesso](https://www.corbado.com/pt/glossary/cda) ou trabalhar no campo de implementação de [chaves de acesso](https://www.corbado.com/pt/glossary/cda), um componente se torna bastante importante: o **provedor de chaves de acesso**. No entanto, embora seja uma parte crucial no ecossistema de [chaves de acesso](https://www.corbado.com/pt/glossary/cda), muitas pessoas têm apenas um entendimento superficial dos provedores de chaves de acesso ou não sabem a diferença entre um **provedor de chaves de acesso first-party**, um **provedor de chaves de acesso third-party** e um **provedor de autenticação de chaves de acesso.** Este artigo tem como objetivo esclarecer esse assunto. Quer seja um desenvolvedor de software, um gerente de produto ou simplesmente curioso sobre as novidades em [segurança](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve) na web, entender o papel e os tipos de provedores de chaves de acesso é essencial. Ao desmistificar este tópico, buscamos capacitar as pessoas com o conhecimento necessário para entender as chaves de acesso com confiança. ## 2. O que é um provedor de chaves de acesso? Um provedor de chaves de acesso desempenha um papel fundamental no ecossistema de [autenticação](https://www.corbado.com/pt/blog/webauthn-relying-party-id-rpid-passkeys) baseada em chaves de acesso, atuando como a ponte entre os dispositivos dos usuários e o acesso seguro e contínuo a partes confiáveis (serviços online). Mas o que exatamente é um provedor de chaves de acesso, especialmente porque não há uma definição oficial e encontrará interpretações diferentes online? A definição a seguir reflete nosso entendimento e não afirma ser a única definição precisa. Um provedor de chaves de acesso é essencialmente qualquer entidade que permita a criação, o gerenciamento e o uso de chaves de acesso. Por meio de nossa pesquisa, identificamos duas categorias principais sob as quais os provedores de chaves de acesso podem ser classificados: **provedores de chaves de acesso first- / third-party e provedores de autenticação de chaves de acesso.** ### 2.1 Provedores de chaves de acesso first- e third-party Esta categoria inclui entidades capazes de gerar uma [chave de acesso](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve) no lado do cliente (no dispositivo do usuário). Quando uma [chave de acesso](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve) é criada por meio dessas plataformas, ela é gerenciada e armazenada com [segurança](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve), frequentemente na nuvem do fabricante do sistema operacional (por exemplo, [iCloud Keychain](https://www.corbado.com/glossary/icloud-keychain), [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager)) ou em um [gerenciador de senhas de terceiros](https://www.corbado.com/pt/blog/teste-de-passkey-em-app-com-gerenciador-de-senhas-de-terceiros) (por exemplo, [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys), [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis), [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) – veja mais abaixo). Sistemas operacionais que permitem a criação e o gerenciamento de chaves de acesso nativamente são considerados **provedores de chaves de acesso first-party**. Em contraste, os gerenciadores de senhas de terceiros que se integram à plataforma por meio de APIs são chamados de **provedores de chaves de acesso third-party.** Um provedor de chaves de acesso first-party ou third-party possui o mesmo [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifiers (AAGUIDs), o que ajuda a melhorar a experiência do usuário (por exemplo, nas configurações de conta para distinguir as chaves de acesso mais facilmente). Às vezes, eles podem ter vários AAGUIDs, que pertencem todos ao mesmo provedor de chaves de acesso first- ou third-party. ![Visão geral dos provedores de chaves de acesso no iOS](https://www.corbado.com/website-assets/66020491f8cbcc407a429682_passkey_provider_ios_overview_3c920aab61.jpg) Provedores de chaves de acesso em um dispositivo [iOS 17](https://www.corbado.com/blog/apple-passkeys-integration).4 ![Visão geral dos provedores de chaves de acesso no Android](https://www.corbado.com/website-assets/660204a496780a14617298af_passkey_provider_android_overview_4ab35ad218.jpg) Provedores de chaves de acesso em um dispositivo [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) 14 ![API Credential Manager para provedores de chaves de acesso](https://www.corbado.com/website-assets/660204bcc78ddc305c676c26_passkey_provider_android_credential_manager_api_a0cec0e7a8.jpg) API Credential Manager do [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ### 2.2 Provedores de autenticação de chaves de acesso A segunda categoria abrange os provedores de [autenticação](https://www.corbado.com/pt/blog/webauthn-relying-party-id-rpid-passkeys) que os desenvolvedores podem integrar a seus aplicativos para lidar com todos os aspectos do gerenciamento de chaves de acesso. Assim, esses são os provedores que trabalham mais no lado do servidor (em oposição ao lado do cliente, mencionado acima). Esta definição também incluiria soluções como a Corbado, que oferecem soluções de [autenticação](https://www.corbado.com/pt/blog/webauthn-relying-party-id-rpid-passkeys) centradas em chaves de acesso para sites e aplicativos. Consequentemente, esses provedores de chaves de acesso deveriam ser descritos mais precisamente como **provedores de autenticação de chaves de acesso**, diferenciando-os dos provedores de chaves de acesso first- e third-party mencionados acima. Nas seções seguintes deste artigo, usaremos o termo "provedores de chaves de acesso" para nos referirmos aos provedores first e third-party, de acordo com nossa definição. ## 3. Identificar provedores de chaves de acesso via AAGUID À medida que os usuários começam a adotar chaves de acesso para várias partes confiáveis, o gerenciamento eficaz surge como um desafio significativo. Isso também se aplica a usuários que utilizam várias chaves de acesso para uma única conta, já que diferenciar essas chaves para fins de edição ou exclusão pode ser complexo para uma parte confiável. Apesar da conveniência e [segurança](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve) que as chaves de acesso oferecem, há um possível problema se um usuário perder uma de suas chaves de acesso. Felizmente, eles ainda podem acessar sua conta na parte confiável usando chaves de acesso alternativas. Para auxiliar os usuários na identificação de chaves específicas, alguns recursos sugerem adicionar metadados, como datas de criação e do último uso, a uma [chave de acesso](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve) nas configurações de conta. Além disso, recomenda-se a utilização de user agents ou [client hints](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox) para nomear e categorizar automaticamente as chaves de acesso no momento de sua criação. No entanto, aplicativos nativos para [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ou [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios), assim como provedores de chaves de acesso third-party, podem não usar user agents, ou não adicionam informações indicando que uma chave de acesso foi gerada por um provedor third-party. Esta limitação destaca a necessidade de métodos melhores para ajudar os usuários a gerenciar suas chaves de acesso de forma eficiente, independentemente da plataforma ou do provedor. ![Atestado de chave pública AAGUID de provedor de chaves de acesso](https://www.corbado.com/website-assets/660204cff8362ee32c3721b1_passkey_provider_aaguid_public_key_attestation_914fbbe16c.jpg) Retirado da [especificação WebAuthn do W3C](https://www.w3.org/TR/webauthn-2/#attestation-object) Para facilitar esse gerenciamento de chaves de acesso, os desenvolvedores podem usar o [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier (AAGUID). O [AAGUID](https://www.corbado.com/glossary/aaguid) é um identificador exclusivo atribuído ao modelo do autenticador, não à sua instância específica. Ele é incorporado aos dados do autenticador da credencial de [chave pública](https://www.corbado.com/pt/glossary/jwks), oferecendo uma forma para que partes confiáveis identifiquem o provedor de chaves de acesso. Esse recurso é fundamental para ajudar os usuários e partes confiáveis a navegarem no cenário das chaves de acesso, garantindo que cada chave possa ser associada com precisão à sua fonte de criação. ![Configurações de conta do provedor de chaves de acesso](https://www.corbado.com/website-assets/6602067c72dd23f23af8230b_passkey_provider_account_settings_7d63a12f19.jpg) Por exemplo, se uma chave de acesso é criada usando o [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) em um dispositivo Android, a parte confiável pode receber um [AAGUID](https://www.corbado.com/glossary/aaguid) específico para o [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager). Ao fazer referência a esse [AAGUID](https://www.corbado.com/glossary/aaguid), a parte confiável pode, então, marcar a chave de acesso de acordo, simplificando o gerenciamento e a identificação pelo usuário. Além disso, partes confiáveis podem evitar a criação de várias chaves de acesso para o mesmo provedor, usando a opção de servidor WebAuthn [excludeCredentials](https://www.corbado.com/glossary/excludecredentials). Isso melhora ainda mais a UX das chaves de acesso, já que cada provedor terá apenas uma chave, evitando a confusão do usuário. ```json { "attestation": "none", "authenticatorSelection": { "residentKey": "preferred", "userVerification": "preferred" }, "challenge": "6V61d0VM5bNTPxWSsrv7YKz0o4awe0ryoDh1V44RPRn6-mBQwv98BTRws6nMrBhEggGn7-tk1bl3YNSwc0oZpA", "excludeCredentials": [ { "id": "1kBn2dmhv5JhuFxqeco1khCBCUBLlWYqZmFtdDujH5pM", "transports": ["internal"], "type": "public-key" } ], "extensions": { "credProps": true }, "pubKeyCredParams": [ { "alg": -7, "type": "public-key" }, { "alg": -257, "type": "public-key" } ], "rp": { "id": "Passkey Demo", "name": "passkeys.eu" }, "user": { "displayName": "Test Name", "id": "ZG1sdVkyVnxe3SFJsYzNR", "name": "Test Name" } } ``` Para determinar o provedor de chaves de acesso usando um AAGUID, as partes confiáveis podem consultar um [repositório colaborativo de AAGUIDs](https://github.com/passkeydeveloper/passkey-authenticator-aaguids/blob/main/aaguid.json). Esse repositório fornece os mapeamentos necessários para identificar o provedor de chaves de acesso por nome e, possivelmente, por ícone, o que ajuda a oferecer uma interface de usuário mais intuitiva para o gerenciamento de chaves de acesso. No entanto, é importante observar que alguns provedores de chaves de acesso podem usar um AAGUID genérico ("00000000-0000-0000-0000-0000000000000") de forma intencional, representando um provedor desconhecido ou genérico. ![Extensão de provedor de chaves de acesso no Chrome para Windows 11](https://www.corbado.com/website-assets/6602050796780a146172f1b5_passkey_provider_windows_11_chrome_extension_ac55618f99.jpg) Recuperar o AAGUID é simples com a maioria das bibliotecas WebAuthn. Por exemplo, ao usar o SimpleWebAuthn no lado do servidor, os desenvolvedores podem extrair o AAGUID das informações de registro para correspondê-lo a um provedor conhecido, aprimorando a capacidade do usuário de gerenciar as suas chaves com maior facilidade (retirado do artigo do Google ["Determine the passkey provider with AAGUID"](https://web.dev/articles/webauthn-aaguid)). ```js // Import a list of AAGUIDs from a JSON file import aaguids from "./aaguids.json" with { type: "json" }; // ... // Use SimpleWebAuthn handy function to verify the registration request. const { verified, registrationInfo } = await verifyRegistrationResponse({ response: credential, expectedChallenge, expectedOrigin, expectedRPID, requireUserVerification: false, }); // ... const { aaguid } = registrationInfo; const provider_name = aaguids[aaguid]?.name || "Unknown"; ``` Embora os AAGUIDs ofereçam uma ferramenta poderosa para o gerenciamento de chaves de acesso, eles devem ser usados com cautela. A integridade de um AAGUID depende do processo de [atestado](https://www.corbado.com/pt/glossary/attestation) (attestation), que valida a autenticidade do provedor de chaves de acesso. Sem uma assinatura de [atestado](https://www.corbado.com/pt/glossary/attestation) válida, os AAGUIDs poderiam ser manipulados. A partir de março de 2024, vale ressaltar que as chaves de acesso em algumas plataformas não suportam atestados, evidenciando a necessidade de consideração cuidadosa em seu uso. Abaixo, encontra-se uma lista não exaustiva de provedores de chaves de acesso first- e third-party para aplicativos Android, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) e da web usando versões muito comuns de sistemas operacionais e navegadores compatíveis com chaves de acesso: ## 4. Lista de provedores de chaves de acesso para Android, iOS e Web Abaixo, encontram-se alguns pop-ups de provedores de chaves de acesso third-party para criar / salvar uma chave de acesso: ![Visão geral dos provedores de chaves de acesso](https://www.corbado.com/website-assets/6602059469184035155c39b2_passkey_provider_overview_d3a9d2aa0d.jpg) ### 4.1 1Password ![Provedor de chaves de acesso 1Password](https://www.corbado.com/website-assets/6602051872dd23f23af6efeb_passkey_provider_1password_182419eac7.jpg) Veja a análise completa do [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) aqui. ### 4.2 Bitwarden ![Provedor de chaves de acesso Bitwarden](https://www.corbado.com/website-assets/66020543d45df446d808f8be_passkey_provider_bitwarden_c2ad9ace74.jpg) ### 4.3 Dashlane ![Provedor de chaves de acesso Dashlane](https://www.corbado.com/website-assets/6602054e5d90ccaee46a7102_passkey_provider_dashlane_a8e2592763.jpg) Veja a análise completa do [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) aqui. ### 4.4 Enpass ![Provedor de chaves de acesso Enpass](https://www.corbado.com/website-assets/6602055372dd23f23af729dc_passkey_provider_enpass_d2badd92a3.jpg) ### 4.5 KeePassXC Veja a análise completa do [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys) aqui. ### 4.6 Keeper ![Provedor de chaves de acesso Keeper](https://www.corbado.com/website-assets/660205613aec28be45cef73a_passkey_provider_keeper_64f5049903.jpg) ### 4.7 NordPass ![Provedor de chaves de acesso NordPass](https://www.corbado.com/website-assets/66020569e448465f8587856b_passkey_provider_nordpass_0787926c6e.jpg) ### 4.8 Proton ![Provedor de chaves de acesso Proton](https://www.corbado.com/website-assets/66020579babefde183f29464_passkey_provider_proton_5b7d529cdc.jpg) ## 5. Conclusão Essencial à implantação e ao gerenciamento de chaves de acesso é o papel dos provedores de chaves de acesso, entidades que não apenas facilitam a criação e o gerenciamento das chaves de acesso, mas também garantem a sua integração contínua em várias plataformas e dispositivos. O objetivo deste artigo foi compreender o que é um provedor de chaves de acesso, incluindo a distinção entre provedores first-party e third-party, bem como o papel essencial do [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier (AAGUID). O uso de AAGUIDs, conforme discutido, oferece uma solução promissora, permitindo uma identificação e um gerenciamento mais simples de chaves de acesso. Além disso, analisamos quais provedores de chaves de acesso first- e third-party existem atualmente para Android, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) e Windows, ajudando os usuários também a encontrar um provedor third-party adequado ou o seu dispositivo de escolha. Para desenvolvedores e gerentes de produtos, os insights sobre provedores de chaves de acesso e seu gerenciamento não apenas orientam a implementação técnica da autenticação com chave de acesso, mas também se alinham com o objetivo mais amplo de melhorar a experiência e a segurança do usuário.