Resposta rápida
Para usar passkeys no Cloudflare Access, adicione Passkeys em Zero Trust > Integrations > Identity providers e depois habilite esse método nas aplicações desejadas. Faça o primeiro teste mantendo outro método de login disponível, porque o usuário precisa confirmar a identidade antes de cadastrar a primeira passkey.
A passkey substitui senha ou código de uso único no login, mas não concede acesso sozinha. O usuário ainda precisa corresponder a uma política do Access. Antes de liberar o método, revise regras que dependem de grupos ou atributos do provedor de identidade, pois a autenticação por passkey não recupera essas informações externas.
O que mudou em 6 de novembro
A Cloudflare passou a oferecer passkeys como método de login para aplicações protegidas pelo Access e para o App Launcher. A credencial pode estar no dispositivo, em uma chave de segurança ou em um gerenciador de senhas. Depois do cadastro, o usuário não precisa informar o endereço de e-mail para entrar com a passkey.
Administradores escolhem quais aplicações aceitam o método e podem remover passkeys registradas. A novidade não altera automaticamente as políticas existentes nem converte logins antigos. Cada aplicação precisa permitir Passkeys em seus métodos de autenticação antes de mostrar a opção aos usuários.
Como a passkey funciona no Access
O Access usa WebAuthn. O autenticador precisa aceitar credenciais descobríveis e verificação do usuário, como biometria ou PIN. O segredo privado permanece no autenticador; o serviço valida a prova correspondente. Isso reduz a dependência de senhas e códigos enviados por e-mail, mas não elimina os controles de dispositivo, sessão e autorização.
Uma passkey salva em um gerenciador pode aparecer em mais de um dispositivo quando o provedor oferece sincronização. Uma chave física ou uma credencial restrita ao aparelho exige que o usuário tenha o autenticador disponível. Defina o método de recuperação antes de tratar a passkey como caminho principal de entrada.
Como ativar o provedor Passkeys
No painel do Cloudflare One, abra Integrations > Identity providers, escolha Add an identity provider e selecione Passkeys. A opção Automatically prompt on the login page é opcional: quando ativa, o navegador pode abrir o seletor de passkeys para usuários que já voltaram ao login.
Também é possível criar o provedor pela API com type igual a passkeys. O token usado nessa operação precisa da permissão de escrita para Access Organizations, Identity Providers and Groups. Use um token com escopo mínimo e nunca copie a credencial para o artigo, logs ou comandos compartilhados.
- Abra Zero Trust > Integrations > Identity providers.
- Selecione Add an identity provider e escolha Passkeys.
- Decida se o navegador deve abrir o prompt automaticamente para usuários recorrentes.
- Salve o provedor e registre quem poderá administrar passkeys e sessões.
- Mantenha pelo menos um método de verificação disponível durante o piloto.
Habilite por aplicação sem bloquear usuários
Depois de criar o provedor, abra Access controls > Applications, edite a aplicação e entre em Login methods. Se Accept all available identity providers estiver desativado, adicione Passkeys à lista permitida. No App Launcher, a configuração fica na aba Authentication.
Comece por uma aplicação de baixo risco e por um grupo pequeno. Não remova o provedor atual durante o primeiro ciclo de cadastro. Se uma pessoa ainda não tem passkey e esse for o único método permitido, o Access usa um código enviado ao e-mail para verificar a identidade durante o cadastro, o que exige que o endereço e a entrega estejam corretos.
- Escolha uma aplicação de teste e confirme as políticas que autorizam seus usuários.
- Adicione Passkeys em Login methods sem retirar o método atual.
- Cadastre uma passkey com um usuário de teste e conclua um novo login.
- Repita com outro navegador ou dispositivo compatível.
- Só amplie depois de validar entrada, recuperação e revogação.
Atenção a grupos e atributos do provedor de identidade
A autenticação por passkey não busca grupos nem atributos personalizados do provedor de identidade. Uma política baseada em grupo do Microsoft Entra ID, Okta ou outro IdP pode deixar de corresponder quando o usuário entra por um método que não fornece essas informações. O resultado pode ser acesso negado mesmo com uma passkey válida.
Revise cada política antes do piloto. Quando a autorização precisa do grupo corporativo atualizado, mantenha o login pelo IdP para essa aplicação ou desenhe uma política que use sinais realmente disponíveis no fluxo de passkey. Não troque uma regra restritiva por uma inclusão ampla de e-mail apenas para fazer o teste passar.
Como cadastrar e testar a primeira passkey
Na página de login do Access, o usuário escolhe Sign in with a passkey e depois Don't have a passkey? Set one up. Em seguida confirma a identidade por um método permitido, dá um nome à credencial e segue o prompt do navegador ou do sistema operacional para salvá-la.
Depois do cadastro, volte ao login e selecione a passkey salva. O Access verifica a credencial e só então avalia as políticas da aplicação. Teste uma entrada válida, uma conta que não corresponde à política e o cancelamento do prompt automático. O usuário deve conseguir escolher outro método permitido sem ficar preso no seletor do navegador.
Dispositivo perdido: remover passkey não encerra a sessão
Se um dispositivo, chave física ou conta do gerenciador de senhas for perdido, o administrador pode abrir Team & Resources > Users, selecionar a identidade e excluir a passkey registrada. A remoção impede novos logins com aquela credencial. A mesma operação existe na API usando o identificador do autenticador.
Excluir a passkey não encerra sessões já ativas. Para bloquear o acesso existente, revogue também as sessões do usuário. Se a pessoa ainda pertence à política e conserva outro método válido, ela poderá criar uma nova sessão; para um desligamento definitivo, remova a autorização na fonte de identidade e revogue os tokens do Access.
- Localize o usuário em Zero Trust > Team & Resources > Users.
- Confira a data de criação e o último uso antes de remover a credencial correta.
- Exclua a passkey perdida ou comprometida.
- Revogue as sessões ativas do usuário em uma ação separada.
- Confirme que o método de recuperação autorizado funciona antes de cadastrar outra passkey.
Por que a passkey não aparece ou o login falha
Se a passkey não aparece, confirme que ela está disponível naquele dispositivo ou gerenciador e que o navegador suporta o autenticador usado. Quando disponível, siga o prompt do navegador para usar uma credencial de outro dispositivo. Cancele o seletor automático e escolha outro método permitido para separar falha do autenticador de falha da política.
Se a passkey é aceita, mas a aplicação nega acesso, revise a política e os atributos presentes nessa autenticação. Consulte a identidade, as atividades recentes e as sessões em Team & Resources > Users. Se vários usuários e aplicações falham ao mesmo tempo, verifique o Cloudflare Status antes de alterar regras em massa.
Limitações e próxima ação útil
Este guia foi verificado em 7 de novembro de 2026. Passkeys melhoram a experiência de autenticação e reduzem dependência de senha ou OTP, mas não substituem políticas, grupos, atributos, revogação de sessões ou um método de recuperação. A disponibilidade da credencial também depende do navegador, do dispositivo e do autenticador escolhido pelo usuário.
A próxima ação é criar um piloto com uma aplicação interna de baixo risco e dois usuários. Habilite Passkeys sem retirar o IdP atual, cadastre uma credencial, valide a política, simule um dispositivo perdido e teste a remoção da passkey junto com a revogação da sessão. Só depois estenda o método às aplicações críticas.
Faça o próximo teste
Fontes consultadas
Os links abaixo servem para conferir conceitos, orientações oficiais e o critério editorial usado neste conteúdo.
- Sign in to Cloudflare Access with passkeysCloudflare Changelog
- PasskeysCloudflare One Docs
- User logsCloudflare One Docs
- Session managementCloudflare One Docs
- Delete a user's passkeyCloudflare API
- Identity providersCloudflare One Docs
- Cloudflare StatusCloudflare