WebAuthn: Login Biométrico e Sem Senha com Node.js

Lucas Moraes (CEO Toolzz AI)
20 de março de 2026

Em um cenário digital cada vez mais preocupado com segurança e experiência do usuário, a autenticação tradicional baseada em senhas demonstra suas limitações. Senhas fracas, reutilizadas ou comprometidas em vazamentos de dados representam um risco constante. O WebAuthn surge como uma alternativa robusta, permitindo um login mais seguro e prático através de biometria ou chaves de segurança.

Por Que JWTs Não São Suficientes

JWTs (JSON Web Tokens) são uma solução popular para autenticação, mas dependem da segurança do token em si. Se um token for roubado, um atacante pode se passar pelo usuário até que o token expire. O WebAuthn muda essa dinâmica, eliminando a necessidade de armazenar segredos no lado do servidor e garantindo que a chave privada nunca deixe o dispositivo do usuário.

O Que o WebAuthn Muda

WebAuthn utiliza criptografia assimétrica. O dispositivo do usuário gera um par de chaves – uma privada, armazenada com segurança no dispositivo, e uma pública, enviada ao servidor. No momento do login, o servidor desafia o usuário a assinar um pedido com sua chave privada. O servidor verifica a assinatura com a chave pública armazenada, confirmando a identidade do usuário sem nunca ter acesso à chave privada.

Inicializando o Projeto

Para demonstrar o WebAuthn em ação, vamos criar uma aplicação Node.js simples. Certifique-se de ter Node.js e npm instalados. Crie um novo diretório para o projeto e inicialize-o:

shell mkdir webauthn-node-demo cd webauthn-node-demo pm init -y npx tsc --init mkdir src

Instalando as Dependências

Precisaremos de algumas dependências para construir nossa aplicação:

shell npm install express express-session @types/express @types/express-session npm install @simplewebauthn/server @simplewebauthn/browser

Criando a Base do Servidor

Crie um arquivo src/app.ts e adicione o seguinte código para configurar o servidor Express:

typescript import express from 'express'; import session from 'express-session'; import { randomBytes } from 'node:crypto'; import { generateRegistrationOptions } from '@simplewebauthn/server';

const app = express(); app.use(express.json()); app.use(session({ secret: 'your-secret-key', resave: false, saveUninitialized: false }));

app.post('/auth/register/options', async (req, res) => { const options = await generateRegistrationOptions({ rpName: 'Your App', rpID: 'your-app.com', userName: 'user' }); res.json(options); });

app.listen(3000, () => { console.log('Servidor rodando na porta 3000'); });

Implementando o Registro

O endpoint /auth/register/options gera as opções de registro para o cliente. O cliente (navegador) usará essas opções para iniciar o processo de registro com o WebAuthn. A biblioteca @simplewebauthn/server simplifica a geração dessas opções, garantindo que todas as informações necessárias estejam presentes.

Implementando a Autenticação

O processo de autenticação é semelhante ao registro. O servidor gera um desafio, o cliente assina o desafio com a chave privada do usuário e o servidor verifica a assinatura usando a chave pública armazenada.

Substituindo a Autenticação Baseada em JWT

Com o WebAuthn, a necessidade de tokens JWT de longa duração é eliminada. Em vez disso, o servidor pode criar sessões curtas após a autenticação bem-sucedida, oferecendo um equilíbrio entre segurança e conveniência.

Multi-Dispositivo e Lógica de Recuperação

O WebAuthn permite que os usuários registrem várias chaves de segurança, o que é útil para cenários de multi-dispositivo. Além disso, é importante implementar mecanismos de recuperação para casos em que o usuário perde o acesso a todas as suas chaves de segurança. E para garantir a segurança em todos os pontos de contato, você pode contar com um Agente AI de Suporte da Toolzz para auxiliar seus clientes.

Autenticação em Duas Etapas para Ações Sensíveis

Para ações críticas, como transferências bancárias ou alterações de senha, é recomendável implementar a autenticação em duas etapas, combinando o WebAuthn com um código enviado por SMS ou e-mail.

Conclusão

O WebAuthn oferece uma solução de autenticação mais segura e amigável do que as senhas tradicionais. Ao adotar o WebAuthn, você pode melhorar significativamente a segurança da sua aplicação e a experiência do usuário. Com a crescente adoção de biometria e chaves de segurança, o WebAuthn está se tornando o padrão para autenticação na web.

Pronto para revolucionar a segurança da sua aplicação? Explore os planos da Toolzz e encontre a solução perfeita para suas necessidades.