O Spotify pode estar prestes a juntar-se à lista de serviços que permitem entrar na conta sem palavra-passe. Uma análise ao código da aplicação para Android revelou indícios de que a plataforma está a preparar o suporte a passkeys — o método de autenticação por impressão digital, rosto ou PIN do dispositivo que está a tornar-se o padrão da indústria. Convém, contudo, moderar o entusiasmo: trata-se de código encontrado nos bastidores da app, ainda sem data de lançamento e sem garantia de que chegue a todos os utilizadores.
Em resumo: uma análise técnica ao código da app do Spotify para Android (um APK teardown) encontrou uma definição interna para ativar passkeys e código para registar uma. As passkeys permitem iniciar sessão com a biometria ou o bloqueio do dispositivo, em vez de uma palavra-passe, e são muito mais resistentes ao phishing. A funcionalidade ainda não está disponível, não tem data e pode nunca chegar à versão pública — mas o sinal é claro: o Spotify, apontado como um dos grandes serviços que ainda ignorava esta tecnologia, está a trabalhar nela.
O que foi encontrado no código da app
A descoberta resulta de um APK teardown — uma técnica em que se examina o código de uma versão da aplicação à procura de funcionalidades ainda não ativadas. Na versão mais recente da app do Spotify para Android, foram encontradas duas peças reveladoras: uma definição interna para ativar a autenticação por passkey e código destinado a registar uma passkey associada à conta do Spotify. A presença destes elementos é um indício bastante direto de que a equipa de desenvolvimento está a preparar o suporte à tecnologia.
É importante o devido contexto: uma análise deste tipo permite antecipar funcionalidades que poderão vir a chegar, com base em código ainda em desenvolvimento. Não é uma confirmação oficial. A funcionalidade está oculta na app, pelo que ainda não é possível saber como será o processo de configuração nem quando — ou sequer se — será disponibilizada ao público. Historicamente, nem todo o código encontrado nestas análises acaba por chegar a uma versão final.
Atualmente, o Spotify permite iniciar sessão através de endereço de e-mail, número de telefone, Apple ID, conta Google ou conta Facebook. Nenhuma destas opções é uma passkey nativa do serviço — e é precisamente essa a lacuna que o novo código parece querer preencher.
O que são passkeys e porque são mais seguras
As passkeys são a evolução natural das palavras-passe. Em vez de obrigarem o utilizador a criar e memorizar códigos complexos, permitem entrar na conta usando aquilo que o dispositivo já usa para se desbloquear: a impressão digital, o reconhecimento facial ou o PIN do ecrã de bloqueio. Assentam nas normas FIDO2 e funcionam através de um par de chaves criptográficas — uma privada, que nunca sai do dispositivo, e uma pública, guardada no serviço.
A grande vantagem em termos de segurança é a resistência ao phishing. Como não existe uma palavra-passe para escrever, não há nada que o utilizador possa, sem querer, entregar num site falso. Mesmo que alguém seja enganado por uma página fraudulenta, não há credencial reutilizável para roubar. É esta propriedade que tem levado gigantes da tecnologia a adotar a tecnologia — como a Microsoft, que tornou as passkeys a predefinição no Entra ID e está a desligar os códigos por SMS.
Para um serviço com a dimensão do Spotify, que conta com centenas de milhões de contas em todo o mundo, a adoção de passkeys representaria um reforço significativo. Analistas chegaram a destacar a empresa como um dos grandes serviços globais que ainda ignorava esta transição — e a presença deste novo código sugere que o atraso pode estar prestes a ser corrigido.
O que muda para os utilizadores em Portugal
Se e quando a funcionalidade chegar, entrar na conta do Spotify passará a ser tão simples como desbloquear o telemóvel — e, ao mesmo tempo, mais seguro. Para os muitos utilizadores portugueses do serviço, a mudança mais palpável será deixar de depender de uma palavra-passe que pode ser reutilizada, adivinhada ou roubada numa campanha de phishing.
Até lá, a recomendação mantém-se: ativar a autenticação de dois fatores sempre que disponível, não reutilizar a mesma palavra-passe em vários serviços e recorrer a um gestor de palavras-passe. E, quando a opção de passkey surgir nas definições da conta, vale a pena adotá-la — é das formas mais eficazes de proteger uma conta contra o roubo de credenciais.
O motivo para esta transição não é apenas conveniência: é o tipo de ameaça que hoje ronda as palavras-passe. Vimos recentemente como o malware ClickLock chegou a prender utilizadores de Mac numa janela falsa até estes revelarem a sua palavra-passe — um ataque que simplesmente não funciona contra uma passkey, porque não há nada para escrever ou revelar.
Perguntas frequentes
O Spotify já suporta passkeys?
Não. Até ao momento, o Spotify permite iniciar sessão por e-mail e palavra-passe, número de telefone, Apple ID, Google ou Facebook. O suporte a passkeys foi apenas encontrado no código da aplicação para Android, o que indica que está em desenvolvimento — mas ainda não está disponível.
Quando é que as passkeys vão chegar ao Spotify?
Não há data oficial. A funcionalidade foi detetada através de um APK teardown, uma técnica que antecipa funcionalidades ainda não lançadas. O Spotify não confirmou publicamente nem o lançamento nem um calendário, e é possível que o código não chegue a uma versão final.
O que é uma passkey?
É um método de autenticação que substitui a palavra-passe pela biometria (impressão digital, rosto) ou pelo PIN do dispositivo. Baseia-se nas normas FIDO2 e é altamente resistente ao phishing, porque não existe uma palavra-passe que possa ser roubada ou introduzida num site falso.
Esta informação tem caráter noticioso e baseia-se na análise ao código da aplicação do Spotify para Android divulgada pela Android Authority.