--- url: 'https://www.corbado.com/pt/blog/fornecedores-passkeys' title: 'Fornecedores de Passkeys: Tipos, AAGUID e Adoção' description: 'Entenda fornecedores de passkeys (first-/third-party e providers de autenticação), o papel do AAGUID e como gerenciar passkeys em Android, iOS e Web.' lang: 'pt' author: 'Vincent Delitz' date: '2025-12-17T17:23:04.314Z' lastModified: '2026-03-25T10:04:00.372Z' keywords: 'passkey provider, provedor de passkeys, first-party passkey provider, third-party passkey provider, autenticação passkey, AAGUID, gerenciamento de passkeys' category: 'WebAuthn Know-How' --- # Fornecedores de Passkeys: Tipos, AAGUID e Adoção ## 1. Introdução Quando usamos passkeys ou trabalhamos na implementação delas, um componente se torna muito importante: o **passkey provider** (provedor de passkeys). No entanto, embora seja uma parte crucial do ecossistema de passkeys, muitas pessoas têm apenas uma compreensão superficial sobre os provedores ou não sabem a diferença entre um **first-party passkey provider** (provedor nativo), um **third-party passkey provider** (provedor de terceiros) e um **passkey authentication provider** (provedor de [autenticação](https://www.corbado.com/pt/blog/passkeys-revolut)). Este post [visa](https://www.corbado.com/blog/visa-passkeys) esclarecer exatamente isso. Seja você um desenvolvedor de software, um gerente de produto ou simplesmente alguém curioso sobre as novidades em segurança web, entender o papel e os tipos de provedores de passkeys é essencial. Ao desmistificar este tópico, queremos capacitar as pessoas com o conhecimento necessário para entender as passkeys com confiança. ## 2. O que é um Provedor de Passkeys? Um provedor de passkeys desempenha um papel fundamental no ecossistema de [autenticação](https://www.corbado.com/pt/blog/passkeys-revolut) baseada em passkeys, agindo como a ponte entre os dispositivos dos usuários e o acesso seguro e contínuo aos relying parties (serviços online). Mas o que é exatamente um provedor de passkeys, especialmente considerando que não existe uma definição oficial e você encontrará diferentes interpretações online? A definição a seguir reflete nosso entendimento e não deve ser considerada a única definição precisa. Um provedor de passkeys é essencialmente qualquer entidade que permite a criação, gerenciamento e uso de passkeys. Através de nossa pesquisa, identificamos duas categorias principais nas quais os provedores podem ser classificados: **provedores first-party / third-party e provedores de autenticação com passkeys.** ### 2.1 Provedores de Passkeys First-Party e Third-Party Esta categoria inclui entidades capazes de gerar uma passkey no lado do cliente (no dispositivo do usuário). Quando uma passkey é criada através dessas plataformas, ela é gerenciada e armazenada com segurança, muitas vezes na nuvem do fabricante do sistema operacional (por exemplo, [iCloud Keychain](https://www.corbado.com/glossary/icloud-keychain), [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager)) ou em um gerenciador de senhas de terceiros (por exemplo, [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys), [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis), [Dashlane](https://www.corbado.com/blog/dashlane-passkeys), veja mais abaixo). Os sistemas operacionais que permitem a criação de passkeys e o gerenciamento nativamente são considerados **first-party passkey providers** (provedores nativos). Em contraste, gerenciadores de senhas de terceiros que se integram à plataforma através de APIs são referidos como **third-party passkey providers** (provedores de terceiros). Um provedor de passkeys, seja first-party ou third-party, possui os mesmos [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifiers (AAGUIDs), que ajudam a melhorar a experiência do usuário (por exemplo, nas configurações da conta para distinguir passkeys mais facilmente). Às vezes, eles podem ter múltiplos AAGUIDs, todos pertencentes ao mesmo provedor. ![Visão geral do provedor de Passkey no iOS](https://www.corbado.com/website-assets/66020491f8cbcc407a429682_passkey_provider_ios_overview_3c920aab61.jpg) Provedores de passkeys em um dispositivo [iOS 17](https://www.corbado.com/blog/apple-passkeys-integration).4 ![Visão geral do provedor de Passkey no Android](https://www.corbado.com/website-assets/660204a496780a14617298af_passkey_provider_android_overview_4ab35ad218.jpg) Provedores de passkeys em um dispositivo [Android 14](https://www.corbado.com/pt/blog/teste-de-passkey-em-app-com-gerenciador-de-senhas-de-terceiros) ![Credential Manager API do Provedor de Passkey](https://www.corbado.com/website-assets/660204bcc78ddc305c676c26_passkey_provider_android_credential_manager_api_a0cec0e7a8.jpg) Credential Manager API do [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ### 2.2 Provedores de Autenticação com Passkeys A segunda categoria engloba provedores de [autenticação](https://www.corbado.com/pt/blog/passkeys-revolut) que os desenvolvedores podem integrar em suas aplicações para lidar com todos os aspectos do gerenciamento de passkeys. Ou seja, são provedores que trabalham mais no lado do servidor (ao contrário do lado do cliente mencionado acima). Essa definição também incluiria soluções como a Corbado, que oferece soluções de autenticação centradas em passkeys para sites e aplicativos. Consequentemente, esses provedores devem ser descritos com mais precisão como **passkey authentication providers**, diferenciando-os dos provedores first-party e third-party mencionados acima. Nas próximas seções deste post, usaremos o termo "provedores de passkeys" para nos referirmos aos provedores first-party e third-party, de acordo com nossa definição. ## 3. Identificar Provedores de Passkeys via AAGUID À medida que os usuários começam a adotar passkeys para vários relying parties, gerenciá-las de forma eficaz surge como um desafio significativo. Isso também é verdade para usuários que utilizam múltiplas passkeys para uma única conta, pois diferenciar essas passkeys para fins de edição ou exclusão pode ser complexo para um [relying party](https://www.corbado.com/glossary/relying-party). Apesar da conveniência e segurança que as passkeys oferecem, há um problema potencial se um usuário perder uma de suas passkeys. Felizmente, eles ainda podem acessar sua conta no [relying party](https://www.corbado.com/glossary/relying-party) usando passkeys alternativas. Para ajudar os usuários a identificar passkeys específicas, alguns recursos sugerem adicionar metadados, como datas de criação e último uso, nas configurações da conta. Além disso, recomenda-se utilizar user agents ou [client hints](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox) para nomear e categorizar passkeys automaticamente no momento da criação. No entanto, apps nativos [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ou [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios), bem como provedores de terceiros, podem não utilizar user agents, ou não adicionam informações indicando que uma passkey foi gerada por um provedor terceiro. Essa limitação destaca a necessidade de métodos melhores para ajudar os usuários a gerenciar suas passkeys eficientemente, independentemente da plataforma ou provedor. ![Atestado de Chave Pública AAGUID do Provedor de Passkey](https://www.corbado.com/website-assets/660204cff8362ee32c3721b1_passkey_provider_aaguid_public_key_attestation_914fbbe16c.jpg) Retirado da [especificação WebAuthn do W3C](https://www.w3.org/TR/webauthn-2/#attestation-object) Para facilitar esse gerenciamento, os desenvolvedores podem usar o [Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier (AAGUID). O [AAGUID](https://www.corbado.com/glossary/aaguid) é um identificador único atribuído ao modelo do autenticador, não à sua instância específica. Ele é incorporado nos dados do autenticador da credencial de [chave pública](https://www.corbado.com/pt/glossary/jwks), oferecendo uma maneira para os relying parties identificarem o provedor da passkey. Essa capacidade é crucial para ajudar usuários e relying parties a navegar no cenário das passkeys, garantindo que cada passkey possa ser associada com precisão à sua fonte de criação. ![Configurações de Conta do Provedor de Passkey](https://www.corbado.com/website-assets/6602067c72dd23f23af8230b_passkey_provider_account_settings_7d63a12f19.jpg) Por exemplo, se uma passkey é criada usando o [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) em um dispositivo [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android), o [relying party](https://www.corbado.com/glossary/relying-party) pode receber um [AAGUID](https://www.corbado.com/glossary/aaguid) específico para o Google [Password Manager](https://www.corbado.com/blog/passkeys-vs-password-managers). Ao referenciar esse [AAGUID](https://www.corbado.com/glossary/aaguid), o relying party pode então marcar a passkey de acordo, simplificando o gerenciamento e identificação para o usuário. Além disso, os relying parties podem evitar a criação de múltiplas passkeys para o mesmo provedor usando a opção de servidor WebAuthn [excludeCredentials](https://www.corbado.com/glossary/excludecredentials). Isso melhora ainda mais a UX das passkeys, pois cada provedor terá apenas uma passkey, evitando confusão para o usuário. ```json { "attestation": "none", "authenticatorSelection": { "residentKey": "preferred", "userVerification": "preferred" }, "challenge": "6V61d0VM5bNTPxWSsrv7YKz0o4awe0ryoDh1V44RPRn6-mBQwv98BTRws6nMrBhEggGn7-tk1bl3YNSwc0oZpA", "excludeCredentials": [ { "id": "1kBn2dmhv5JhuFxqeco1khCBCUBLlWYqZmFtdDujH5pM", "transports": ["internal"], "type": "public-key" } ], "extensions": { "credProps": true }, "pubKeyCredParams": [ { "alg": -7, "type": "public-key" }, { "alg": -257, "type": "public-key" } ], "rp": { "id": "Passkey Demo", "name": "passkeys.eu" }, "user": { "displayName": "Test Name", "id": "ZG1sdVkyVnxe3SFJsYzNR", "name": "Test Name" } } ``` Para determinar o provedor de passkeys usando um AAGUID, os relying parties podem consultar um [repositório de AAGUIDs mantido pela comunidade](https://github.com/passkeydeveloper/passkey-authenticator-aaguids/blob/main/aaguid.json). Este repositório fornece os mapeamentos necessários para identificar o provedor pelo nome e, potencialmente, pelo ícone, ajudando a fornecer uma interface de usuário mais intuitiva para o gerenciamento de passkeys. No entanto, é importante notar que alguns provedores podem usar um AAGUID genérico ("00000000-0000-0000-0000-0000000000000") intencionalmente, representando um provedor desconhecido ou genérico. ![Extensão do Chrome para Provedor de Passkey no Windows 11](https://www.corbado.com/website-assets/6602050796780a146172f1b5_passkey_provider_windows_11_chrome_extension_ac55618f99.jpg) Recuperar o AAGUID é direto com a maioria das bibliotecas WebAuthn. Por exemplo, ao usar SimpleWebAuthn no lado do servidor, os desenvolvedores podem extrair o AAGUID das informações de registro para combiná-lo com um provedor conhecido, melhorando a capacidade do usuário de gerenciar suas passkeys com maior facilidade (retirado do artigo do Google ["Determine the passkey provider with AAGUID"](https://web.dev/articles/webauthn-aaguid)). ```js // Import a list of AAGUIDs from a JSON file import aaguids from "./aaguids.json" with { type: "json" }; // ... // Use SimpleWebAuthn handy function to verify the registration request. const { verified, registrationInfo } = await verifyRegistrationResponse({ response: credential, expectedChallenge, expectedOrigin, expectedRPID, requireUserVerification: false, }); // ... const { aaguid } = registrationInfo; const provider_name = aaguids[aaguid]?.name || "Unknown"; ``` Embora os AAGUIDs ofereçam uma ferramenta poderosa para o gerenciamento de passkeys, eles devem ser usados com cautela. A integridade de um AAGUID depende do processo de [attestation](https://www.corbado.com/glossary/attestation) (atestado), que valida a autenticidade do provedor de passkeys. Sem uma assinatura de attestation válida, os AAGUIDs poderiam ser potencialmente manipulados. Vale notar que, em março de 2024, passkeys em algumas plataformas não suportam attestation, destacando a necessidade de consideração cuidadosa em seu uso. A seguir, você encontra uma lista não exaustiva de provedores de passkeys first-party e third-party para aplicativos Android, aplicativos [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) e web apps usando versões muito comuns de sistemas operacionais e navegadores: ## 4. Lista de Provedores de Passkeys para Android, iOS e Web Abaixo, você encontra alguns popups de [third-party passkey providers](https://www.corbado.com/blog/passkey-implementation-password-managers) para criar / salvar uma passkey: ![Visão Geral dos Provedores de Passkey](https://www.corbado.com/website-assets/6602059469184035155c39b2_passkey_provider_overview_d3a9d2aa0d.jpg) ### 4.1 1Password ![Provedor de Passkey 1Password](https://www.corbado.com/website-assets/6602051872dd23f23af6efeb_passkey_provider_1password_182419eac7.jpg) Veja a análise completa do [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) aqui. ### 4.2 Bitwarden ![Provedor de Passkey Bitwarden](https://www.corbado.com/website-assets/66020543d45df446d808f8be_passkey_provider_bitwarden_c2ad9ace74.jpg) ### 4.3 Dashlane ![Provedor de Passkey Dashlane](https://www.corbado.com/website-assets/6602054e5d90ccaee46a7102_passkey_provider_dashlane_a8e2592763.jpg) Veja a análise completa do [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) aqui. ### 4.4 Enpass ![Provedor de Passkey Enpass](https://www.corbado.com/website-assets/6602055372dd23f23af729dc_passkey_provider_enpass_d2badd92a3.jpg) ### 4.5 KeePassXC Veja a análise completa do [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys) aqui. ### 4.6 Keeper ![Provedor de Passkey Keeper](https://www.corbado.com/website-assets/660205613aec28be45cef73a_passkey_provider_keeper_64f5049903.jpg) ### 4.7 NordPass ![Provedor de Passkey NordPass](https://www.corbado.com/website-assets/66020569e448465f8587856b_passkey_provider_nordpass_0787926c6e.jpg) ### 4.8 Proton ![Provedor de Passkey Proton](https://www.corbado.com/website-assets/66020579babefde183f29464_passkey_provider_proton_5b7d529cdc.jpg) ## 5. Conclusão Central para a implementação e gerenciamento de passkeys é o papel dos provedores de passkeys, entidades que não apenas facilitam a criação e o gerenciamento de passkeys, mas também garantem sua integração perfeita em várias plataformas e dispositivos. O objetivo deste post foi entender o que é um provedor de passkeys, incluindo a distinção entre provedores first-party e third-party, bem como o papel crítico do [Authenticator](https://www.corbado.com/glossary/authenticator) Attestation Globally Unique Identifier (AAGUID). O uso de AAGUIDs, conforme discutido, oferece uma solução promissora, permitindo uma identificação e gerenciamento de passkeys mais diretos. Além disso, analisamos quais provedores first-party e third-party existem atualmente para Android, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) e Windows, ajudando os usuários a encontrar também um provedor de passkeys de terceiros adequado ou seu dispositivo de escolha. Para desenvolvedores e gerentes de produto, os insights sobre provedores de passkeys e seu gerenciamento não apenas orientam a implementação técnica da autenticação com passkeys, mas também se alinham com o objetivo mais amplo de aprimorar a experiência do usuário e a segurança.