Autenticação de Atrito 0

A maioria dos sistemas ainda trata cadastro como formulário. Antes de entregar qualquer valor, pede nome completo, e-mail, senha, confirmação de senha, CPF, endereço, data de nascimento, aceite de termos, verificação por e-mail e, depois de tudo isso, ainda solicita um segundo fator de autenticação. O usuário entra no sistema já cansado.

A proposta da Autenticação de Atrito 0 é inverter essa lógica: primeiro o sistema identifica o usuário pelo canal que ele já usa, depois cria uma credencial forte, e só então pede os dados realmente necessários para a intenção daquele momento.

O fluxo é simples.

A pessoa digita o telefone no input e clica em “Entrar”. Ela recebe um magic-link no WhatsApp. Ao abrir o link, entra em uma página segura que pede a criação ou confirmação de uma passkey. Depois disso, o usuário está cadastrado no sistema com autenticação passwordless e dois fatores práticos de verificação: controle do canal telefônico/WhatsApp e posse do dispositivo autenticado por passkey.

Sem senha. Sem e-mail obrigatório. Sem baixar aplicativo novo. Sem trocar de canal. Sem pedir informações que o sistema ainda não precisa usar.

O que é 2FA Passwordless

2FA Passwordless é um modelo de autenticação em que o usuário não precisa criar nem lembrar senha, mas ainda passa por mais de uma prova de identidade.

No modelo tradicional, o primeiro fator costuma ser uma senha. Depois vem um segundo fator, como SMS, aplicativo autenticador ou e-mail. O problema é que a senha é o elo fraco: pode ser reutilizada, vazada, esquecida, digitada em site falso ou capturada por engenharia social.

No modelo passwordless, a senha desaparece. Em vez de perguntar “qual segredo você sabe?”, o sistema pergunta “você controla este canal?” e “você possui este dispositivo autenticado?”.

No fluxo proposto:

O primeiro passo é o telefone. O usuário informa o número e recebe o magic-link no WhatsApp. Isso valida que ele tem acesso ao canal que será usado para comunicação, recuperação e continuidade do relacionamento.

O segundo passo é a passkey. O navegador ou sistema operacional pede biometria, PIN ou desbloqueio local do dispositivo. A partir daí, o sistema cadastra uma credencial criptográfica vinculada àquele domínio. Nas próximas entradas, o usuário não precisa de senha; ele apenas confirma a passkey.

A experiência parece simples, mas a arquitetura é forte: o usuário entra com o canal que já utiliza e registra uma credencial moderna sem perceber complexidade técnica.

A experiência ideal

Imagine entrar em um e-commerce, sistema de teleconsulta, marketplace, plataforma de atendimento ou aplicativo de serviços.

A tela inicial não pergunta nome, e-mail, senha e CPF. Ela pergunta apenas:

“Qual é seu WhatsApp?”

O usuário digita o telefone.

Recebe uma mensagem:

“Clique para entrar com segurança.”

Ele toca no link.

A página abre e solicita a passkey:

“Confirme sua identidade para proteger sua conta.”

Ele usa biometria, Face ID, impressão digital, PIN do aparelho ou método equivalente.

Pronto. A conta existe.

Depois da primeira entrada, o sistema pode pedir apenas o nome, porque nome é útil para atendimento, recibo, saudação, identificação visual e relacionamento humano. Não precisa pedir endereço, CPF, data de nascimento ou outros dados antes que exista uma intenção concreta que justifique aquilo.

Se o usuário estiver comprando algo físico, o endereço será solicitado apenas na etapa de entrega. Se estiver marcando uma consulta, serão pedidos os dados necessários para o agendamento. Se estiver apenas conversando com um assistente, talvez nenhum dado adicional seja necessário naquele momento.

A regra é simples: dado só deve ser pedido quando tiver função imediata.

Por que isso reduz atrito

Atrito não é apenas quantidade de cliques. Atrito é qualquer momento em que o usuário sente que o sistema está exigindo esforço antes de entregar valor.

Senha cria atrito. Confirmação de e-mail cria atrito. Baixar app cria atrito. Copiar código cria atrito. Preencher formulário longo cria atrito. Informar endereço antes de escolher produto cria atrito. Cadastrar CPF antes de saber preço cria atrito.

A Autenticação de Atrito 0 remove quase tudo isso.

O telefone é um identificador familiar, especialmente em mercados onde WhatsApp é o canal principal de relacionamento. O magic-link evita digitação de código. A passkey substitui senha por autenticação local. O cadastro progressivo evita formulário desnecessário. O usuário entra no sistema pelo mesmo canal em que já conversa, compra, agenda e recebe suporte.

O resultado é uma entrada natural: telefone, WhatsApp, passkey, conta criada.

Por que isso aumenta segurança

A proposta não é simplificar sacrificando segurança. É simplificar trocando mecanismos frágeis por mecanismos melhores.

Senhas são compartilháveis, esquecíveis e reutilizáveis. Magic-links têm validade curta e podem ser usados como etapa de posse do canal. Passkeys usam credenciais criptográficas associadas ao domínio correto, reduzindo drasticamente o risco de phishing em comparação com senhas tradicionais.

Quando o usuário cria uma passkey, o servidor não precisa armazenar uma senha. Ele armazena uma chave pública. A chave privada fica protegida no dispositivo ou no provedor de passkeys do usuário. No login, o sistema envia um desafio criptográfico, e o dispositivo assina esse desafio. O servidor valida a assinatura. A senha nunca existe.

Isso muda a superfície de ataque.

Não há senha para vazar. Não há senha para o usuário reutilizar. Não há senha para digitar em site falso. Não há senha para suporte técnico redefinir de forma insegura.

O WhatsApp magic-link funciona como entrada e verificação inicial do canal. A passkey passa a ser a credencial forte para acessos futuros. O sistema pode ainda aplicar políticas de risco: pedir novo magic-link se o dispositivo for desconhecido, se houver troca de país, tentativa suspeita, alteração de telefone, recuperação de conta ou operação sensível.

Cadastro progressivo: pedir só o necessário

Um dos pontos centrais dessa arquitetura é o cadastro progressivo.

O sistema não precisa saber tudo sobre o usuário no primeiro contato. Ele precisa saber apenas o suficiente para cumprir a próxima intenção.

Se a intenção é entrar, o telefone basta.

Se a intenção é personalizar atendimento, o nome basta.

Se a intenção é entregar um produto, o endereço passa a ser necessário.

Se a intenção é emitir nota fiscal, dados fiscais podem ser solicitados.

Se a intenção é teleconsulta, dados clínicos e consentimentos específicos podem ser pedidos.

Isso cria uma relação mais limpa entre usuário e sistema. Cada dado coletado tem justificativa operacional. O usuário entende por que está fornecendo aquela informação, porque ela aparece no momento certo.

Essa lógica também melhora privacidade e conformidade. Quanto menos dados o sistema coleta sem necessidade, menor é o risco de exposição, menor é a responsabilidade operacional e mais fácil fica explicar a finalidade de cada informação.

O fluxo técnico

O fluxo pode ser descrito em etapas.

Primeiro, o usuário informa o telefone.

O backend normaliza o número, aplica rate limit, valida risco básico e cria uma tentativa de autenticação com tempo curto de expiração.

Depois, o sistema envia um magic-link pelo WhatsApp. Esse link deve ser único, assinado, expirar rapidamente e funcionar uma única vez. Ele não deve carregar dados sensíveis; deve carregar apenas uma referência segura para a tentativa de autenticação.

Quando o usuário abre o link, o sistema valida o token. Se estiver válido, inicia a etapa de passkey.

Se for o primeiro acesso, o navegador chama o fluxo de criação de credencial WebAuthn/passkey. O usuário confirma no dispositivo. O sistema salva a chave pública associada à conta.

Se já existir passkey cadastrada, o sistema chama o fluxo de autenticação. O usuário confirma no dispositivo. O sistema valida a assinatura e cria a sessão.

Após isso, a aplicação entra no onboarding mínimo. Se o nome ainda não existir, pede o nome. Nada além disso precisa ser obrigatório por padrão.

A partir desse momento, o usuário está autenticado, cadastrado e pronto para usar o sistema.

O papel do WhatsApp

O WhatsApp não precisa ser tratado apenas como canal de marketing ou suporte. Ele pode ser parte da identidade operacional do usuário.

Em muitos contextos, o WhatsApp já é onde a pessoa conversa com a empresa, recebe comprovantes, agenda horários, acompanha pedidos e resolve problemas. Usá-lo como canal de entrada reduz a distância entre autenticação e uso real.

A pessoa não precisa sair do comportamento natural dela. Ela já está no WhatsApp. Ela recebe o link onde já conversa. Ela toca. O navegador abre. Ela confirma a passkey. A sessão está criada.

Isso é especialmente forte para sistemas web + WhatsApp, e-commerce conversacional, atendimento médico, marketplaces locais, serviços agendados, delivery, educação, suporte técnico e operações em que o relacionamento começa por mensagem.

O papel da passkey

A passkey é a peça que transforma um login simples em uma autenticação forte.

Sem a passkey, o magic-link pelo WhatsApp seria apenas uma autenticação por posse de canal. Isso pode ser suficiente para experiências simples, mas não é o ideal para operações sensíveis.

Com a passkey, o usuário passa a ter uma credencial criptográfica forte, sem senha e com confirmação local. O sistema ganha segurança sem obrigar o usuário a entender criptografia, instalar autenticador ou decorar códigos.

A passkey também melhora os próximos logins. Depois da primeira entrada, o sistema pode permitir que o usuário entre diretamente com passkey, usando o telefone apenas como identificador ou como fallback de recuperação.

Recuperação de conta

Todo sistema passwordless precisa pensar bem em recuperação.

Se o usuário trocar de aparelho, perder acesso à passkey ou mudar de número, o sistema precisa ter um fluxo seguro. Esse fluxo pode combinar WhatsApp, verificação de dispositivo anterior, confirmação por outro canal, análise de risco, espera temporal, suporte humano ou validações adicionais dependendo do nível de sensibilidade da conta.

A regra importante é: recuperação não pode ser mais fraca que o login.

Se qualquer pessoa com acesso temporário ao WhatsApp puder substituir a passkey, a segurança cai. Por isso, ações como alterar telefone, remover passkey, adicionar nova passkey ou acessar dados sensíveis devem exigir controles adicionais.

A experiência deve continuar simples, mas o sistema precisa tratar recuperação como operação crítica.

Aplicação em e-commerce

No e-commerce, esse modelo resolve um problema clássico: o cadastro aparece antes da compra.

O usuário quer comprar, mas o site exige conta. Ele quer ver frete, mas o site exige endereço completo. Ele quer finalizar, mas o site pede senha. Ele quer receber suporte, mas precisa abrir ticket em outro canal.

Com Autenticação de Atrito 0, o fluxo fica mais natural.

O usuário entra com telefone. Recebe o link no WhatsApp. Confirma a passkey. Informa o nome. Navega ou conversa com o agente. Quando decide comprar, o sistema só pede o endereço na etapa de entrega. Se já tiver endereço salvo, apenas confirma. Se precisar de nota fiscal, pede os dados fiscais naquele momento.

O cadastro deixa de ser uma barreira e vira uma consequência da intenção.

Aplicação em sistemas agênticos

Em sistemas com agentes de IA, esse modelo é ainda mais importante.

Um agente pode atender o usuário pelo WhatsApp, webchat, Instagram, Facebook, TikTok ou interface web. Se cada canal exigir um cadastro diferente, a experiência quebra. Mas se o telefone for a âncora inicial e a passkey for a credencial forte, o usuário pode transitar entre canais com identidade consistente.

O agente não precisa pedir todos os dados no início. Ele pode pedir apenas o que a intenção exige.

Se o usuário quer tirar uma dúvida, não precisa de endereço.

Se quer comprar, precisa de entrega.

Se quer remarcar consulta, precisa confirmar identidade.

Se quer acessar histórico sensível, precisa de autenticação forte.

Isso permite uma experiência hiperpersonalizada sem transformar o primeiro contato em interrogatório.

Princípio central

A Autenticação de Atrito 0 segue um princípio simples:

Não peça senha.
Não peça app novo.
Não peça dado sem finalidade.
Não peça esforço antes de entregar valor.

Telefone identifica o canal.
WhatsApp entrega o acesso.
Passkey protege a conta.
Cadastro progressivo coleta apenas o necessário.
A intenção do usuário decide quais dados serão pedidos.

Esse modelo cria uma autenticação mais simples para o usuário e mais segura para o sistema.

A melhor autenticação não é aquela que obriga o usuário a provar tudo antes de começar. É aquela que entende o mínimo necessário, cria confiança progressiva e aumenta a segurança exatamente quando o risco aumenta.

Autenticação de Atrito 0 é isso: entrar com o que o usuário já tem, no canal que ele já usa, com segurança forte, sem senha e sem formulário desnecessário.