Trezor como Chave de Segurança: Guia FIDO2 e U2F (2026)

Você já tem uma Trezor guardando as suas criptomoedas. O que quase ninguém conta é que o mesmo dispositivo pode virar a chave de segurança física das suas contas de Google, GitHub, Dropbox e dezenas de outros serviços — sem custo adicional e sem instalar nada.

É o padrão FIDO2/U2F, o mesmo usado por chaves dedicadas como YubiKey e Key-ID. Neste guia você vai entender como funciona, quais modelos Trezor suportam cada padrão, como registrar a sua no Google passo a passo e — a parte que mais gera dúvida — o que acontece se você perder o dispositivo.

2FA, U2F e FIDO2: o que é cada coisa

Os três termos aparecem juntos o tempo todo e são confundidos com frequência. A diferença é simples quando você olha para a hierarquia:

• 2FA (autenticação de dois fatores) é o conceito geral: exigir dois tipos de comprovação para entrar em uma conta. Algo que você sabe (a senha) e algo que você tem (o celular, um app, uma chave física).
• U2F (Universal 2nd Factor) foi o padrão original de segundo fator via hardware. Hoje é considerado legado, mas continua funcionando na maioria dos serviços.
• FIDO2 é o padrão atual, que substituiu o U2F. Ele faz tudo o que o U2F fazia e vai além: permite login sem senha (as famosas passkeys).

Na prática: quando você registra a sua Trezor em um site, o próprio navegador negocia qual dos dois padrões usar. Você só precisa conectar o dispositivo e confirmar na tela.

Por que usar a sua Trezor como chave de segurança

Autenticação por SMS e por aplicativo (Google Authenticator, Authy) protege contra vazamento de senha, mas não protege contra phishing. Se um site falso convence você a digitar o código de 6 dígitos, o atacante repassa esse código para o site verdadeiro em segundos. Está feito.

Uma chave FIDO2/U2F fecha exatamente essa porta. Veja o que muda:

• Resistência a phishing por design. A verificação acontece diretamente entre o dispositivo e o domínio real do serviço. Se o endereço não bate, a chave simplesmente não responde — não existe código para você entregar por engano.
• Nada para digitar. Sem código de 6 dígitos, sem contagem regressiva, sem SMS que não chega.
• Confirmação física obrigatória. Ninguém entra na sua conta sem tocar no botão da sua Trezor. Malware remoto não consegue tocar em nada.
• Imune a SIM swap. O golpe de clonagem de chip, comum no Brasil, deixa de ser um vetor de ataque.
• Aproveita o backup que você já tem. No caso do U2F, os registros derivam do próprio segredo mestre da carteira — voltaremos a isso adiante.

Quais modelos Trezor suportam FIDO2 e U2F

Nem todo modelo faz as duas coisas. Confira antes de começar:

Modelo	U2F (segundo fator)	FIDO2 (passkeys e login sem senha)
Trezor Safe 7	✅ Sim	✅ Sim
Trezor Safe 5	✅ Sim	✅ Sim
Trezor Safe 3	✅ Sim	✅ Sim
Trezor Model T	✅ Sim	✅ Sim
Trezor Model One	✅ Sim	❌ Não

Se você tem uma Model One, ainda dá para usá-la como segundo fator na maioria dos serviços que aceitam chaves U2F — mas alguns já oferecem apenas o fluxo de passkey, que ela não suporta. Já as linhas Safe e a Model T fazem os dois.

Antes de começar: checklist rápido

• Trezor com firmware atualizado (faça a atualização pelo Trezor Suite antes de registrar qualquer conta).
• Cabo USB com suporte a dados (USB-C na Safe 7) — a conexão precisa ser por USB. Bluetooth não funciona para FIDO2/U2F.
• Navegador atualizado. Chrome, Firefox, Edge, Safari e os demais navegadores relevantes suportam FIDO2 e U2F nativamente.
• Um método de login reserva já configurado na conta que você vai proteger (códigos de recuperação, um segundo dispositivo ou telefone). Isso não é opcional — leia a seção sobre perda de dispositivo antes de continuar.
• Seu backup da seed guardado em local seguro.

Passo a passo: registrar a Trezor no Google

O Google é o serviço mais usado como ponto de partida, e o fluxo é praticamente idêntico nos demais sites. São seis passos:

1. Abra as configurações da Conta Google. Clique no ícone do seu perfil, no canto superior direito, e acesse Gerenciar sua Conta do Google.
2. Vá até “Segurança”. Na seção de login, ative a Verificação em duas etapas caso ainda não esteja ativa. Sem ela, a opção de chave de segurança não aparece.
3. Localize “Chaves de acesso e chaves de segurança” dentro das segundas etapas e clique no ícone + para adicionar uma nova.
4. Escolha “Usar outro dispositivo” (Use another device) quando o Google perguntar onde criar a chave. Essa é a opção que libera o registro de uma chave externa em vez de usar o celular ou o computador.
5. Conecte a Trezor por USB e desbloqueie com o PIN. A tela do dispositivo vai exibir os dados do registro: a indicação FIDO2 Register, o endereço do serviço e o seu e-mail. Confira essas informações na tela do dispositivo — é aqui que o phishing morre. Estando tudo certo, toque em Confirmar.
6. Finalize. O Google confirma a criação da chave — clique em Concluído. Ela passa a aparecer na lista de segundas etapas, e você pode renomeá-la ali para identificá-la depois (por exemplo, “Trezor Safe 5 — pessoal”).

Registrando em outros serviços

Depois do Google, o processo se repete com pequenas variações de nome de menu. Serviços populares que aceitam a Trezor como chave de segurança incluem:

• GitHub — Settings → Password and authentication → Security keys.
• Dropbox — Segurança → Verificação em duas etapas → Adicionar chave de segurança.
• Facebook — Configurações → Segurança e login → Autenticação de dois fatores.
• Gerenciadores de senha compatíveis com FIDO2, como camada extra sobre o cofre.

Para conferir se um serviço específico aceita chaves de segurança ou passkeys, consulte o diretório passkeys.directory, que mantém a lista atualizada.

E se eu perder a minha Trezor?

Esta é a pergunta mais importante do artigo, e a resposta depende de qual padrão foi usado no registro. A diferença é real e vale entender antes de sair registrando contas.

Registros U2F: recuperáveis pelo backup

No U2F, quem guarda o identificador da credencial é o serviço, não o dispositivo. A chave em si é derivada deterministicamente do segredo mestre da carteira (o mesmo que o seu backup restaura) — a Trezor usa para isso o esquema SLIP-0010, com o formato de identificador descrito no SLIP-0022. Resultado prático: se você restaurar o seu backup em um dispositivo novo, as mesmas credenciais U2F voltam a ser geradas e o acesso retorna automaticamente, sem precisar registrar nada outra vez.

Passkeys FIDO2: dependem do que está gravado no dispositivo

As passkeys FIDO2 são discoverable credentials (ainda chamadas de resident credentials): o identificador fica gravado na memória da própria Trezor. Se o dispositivo for perdido, danificado ou apagado, esse registro vai junto — e você precisará se cadastrar de novo em cada serviço, a menos que tenha salvado os Credential IDs antes.

Esse backup é simples e vale muito a pena: rode trezorctl fido credentials list, copie os Credential IDs e guarde-os. Eles são cifrados com o backup da sua carteira, então podem ser salvos em um arquivo de texto comum no computador. Com a seed restaurada em um dispositivo novo, o comando trezorctl fido credentials add recoloca cada passkey no lugar. Os comandos estão na próxima seção.

Mesmo assim, vale a regra de ouro: sempre configure um método de acesso alternativo (códigos de recuperação impressos, uma segunda chave de segurança ou telefone verificado) antes de tornar a Trezor o seu segundo fator principal. Muita gente descobre isso da pior maneira possível.

Gerenciando credenciais FIDO2 com o trezorctl (avançado)

Se você quer listar, exportar ou remover as passkeys guardadas no dispositivo, existe uma ferramenta de linha de comando oficial: o trezorctl. É opcional — o uso normal não exige nada disso — mas é útil para quem acumula muitos registros ou quer fazer uma limpeza.

Instalação (requer Python 3):

pip3 install --upgrade trezor

Listar as credenciais gravadas no dispositivo:

trezorctl fido credentials list

Copie os Credential IDs dessa listagem e guarde-os em um arquivo de texto — como são cifrados com o backup da sua carteira, não há risco em armazená-los assim. É esse arquivo que permite restaurar as passkeys em um dispositivo novo.

Restaurar/adicionar uma credencial a partir do seu ID:

trezorctl fido credentials add <CREDENTIAL_ID>

Remover uma credencial pelo índice mostrado na listagem:

trezorctl fido credentials remove -i <INDEX>

O espaço para passkeys no dispositivo é limitado. Se um novo registro falhar, rode o list e remova credenciais antigas que você não usa mais. E confirme que ainda consegue entrar na conta por outro método antes de remover qualquer coisa.

Bônus: usar a Trezor para autenticar o sudo no Linux

Dá para exigir a Trezor para elevar privilégios no Linux, via módulo PAM. Antes, instale o pacote pam-u2f e gere o arquivo de mapeamento com a Trezor conectada (pamu2fcfg > /etc/u2f_mappings). Depois, adicione a linha abaixo ao arquivo /etc/pam.d/sudo:

auth required pam_u2f.so authfile=/etc/u2f_mappings cue

Mantenha uma sessão de terminal com root aberta enquanto testa. Com a diretiva required e um arquivo de mapeamento ausente ou incorreto, o sudo para de funcionar e você fica sem acesso administrativo à máquina.

Boas práticas para não se complicar

• Duas chaves, sempre. Uma em uso, outra guardada como reserva em local diferente.
• Guarde os códigos de recuperação de cada serviço offline, de preferência impressos ou em aço.
• Nomeie cada chave nas configurações do serviço, para saber o que revogar caso perca um dispositivo.
• Confira sempre a tela da Trezor antes de confirmar. O domínio exibido ali é a sua garantia contra sites falsos.
• Não use a mesma Trezor de uso diário como única chave de contas críticas de trabalho — separe os papéis.
• Revise a lista de chaves registradas nas suas contas a cada seis meses e remova o que não usa.

Qual Trezor escolher para usar como chave de segurança

Todos os modelos abaixo funcionam como chave FIDO2. A diferença prática está no tamanho da tela — que é onde você confere o domínio antes de confirmar — e no nível de segurança do hardware.

Já tem uma Trezor Model T ou uma Trezor One? Não precisa trocar de aparelho para começar — a Model T faz FIDO2 e U2F, e a One funciona como segundo fator U2F.

Trezor ou uma chave de segurança dedicada?

As duas opções usam o mesmo padrão e oferecem a mesma proteção criptográfica. A escolha é prática:

• Usar a Trezor faz sentido se você já tem uma e quer proteger algumas contas sem gastar mais. A tela grande das Safe 5, Safe 7 e Model T mostra claramente o domínio e o e-mail antes de confirmar — uma vantagem real sobre chaves sem tela.
• Uma chave dedicada (YubiKey, Key-ID, SecuX PUFido) tende a ser mais prática no dia a dia: formato compacto, suporte a NFC para celular e nenhum risco de você expor a carteira de cripto em situações corriqueiras.

Para a maioria das pessoas, a combinação ideal é usar a Trezor como chave principal em contas sensíveis e manter uma chave dedicada de reserva. Se ficou em dúvida sobre qual modelo escolher, o guia Qual chave de segurança 2FA escolher? compara as opções lado a lado.

Perguntas frequentes

Qual a diferença entre chave de segurança e passkey?

A chave de segurança funciona como segundo fator: você digita a senha e depois confirma no dispositivo. A passkey substitui a senha por completo — o login acontece só com o dispositivo. As duas usam a tecnologia FIDO2.

Consigo usar FIDO2 na Trezor Safe 7 por Bluetooth?

Não. Os recursos FIDO2 e U2F da Trezor Safe 7 exigem conexão por USB, mesmo que o dispositivo tenha Bluetooth para outras funções.

A Trezor Model One serve como chave de segurança?

Sim, para U2F — ou seja, como segundo fator após a senha. Ela não suporta os recursos FIDO2, como login sem senha (passkeys).

Preciso instalar alguma extensão ou programa?

Não. Chrome, Firefox, Edge, Safari e os demais navegadores relevantes suportam FIDO2 e U2F nativamente. Basta conectar o dispositivo por USB.

Usar a Trezor como 2FA coloca as minhas criptomoedas em risco?

Não. As chaves de autenticação web nascem do mesmo backup, mas em um caminho de derivação separado e unidirecional: quem obtiver uma credencial FIDO2 não consegue chegar às chaves privadas das suas moedas. O acesso ao dispositivo continua protegido pelo PIN.

Posso registrar a mesma Trezor em várias contas?

Sim. Em U2F não há limite prático, porque o identificador da credencial fica com o serviço, e não no dispositivo. Em FIDO2 (passkeys), o armazenamento interno é limitado — use o trezorctl fido credentials list para acompanhar quantas já estão gravadas.

E se eu perder o dispositivo?

Registros U2F voltam sozinhos ao restaurar o backup da carteira em um novo dispositivo. Passkeys FIDO2 dependem do que estava gravado no hardware: se você guardou os Credential IDs, dá para restaurá-las com trezorctl fido credentials add; caso contrário, é preciso registrar de novo em cada serviço. Mantenha sempre um método de login reserva configurado.

Conclusão

Transformar a sua Trezor em chave de segurança é uma das melhorias de segurança com melhor custo-benefício que existem: leva cinco minutos, não custa nada, elimina o phishing de código e o SIM swap, e torna uma senha roubada insuficiente para entrar na sua conta. O único cuidado real é o método de acesso reserva — configure antes, não depois.

Leia também

A KriptoBR é a Revendedora Oficial Trezor, Ledger, SecuX, Key-ID e Yubico no Brasil, desde 2017. Fonte técnica principal: Trezor Knowledge Base — Using your Trezor as a security key (FIDO2 & U2F), com informações complementares da especificação SLIP-0022 e da documentação do trezorctl. Este conteúdo é informativo e não constitui recomendação de investimento.