ChatGPT agora suporta chaves físicas de segurança via YubiKey
OpenAI faz parceria com Yubico para proteger contas ChatGPT com chaves físicas FIDO2, eliminando senhas e bloqueando phishing.
A OpenAI acaba de anunciar uma parceria com a Yubico para oferecer chaves físicas de segurança dedicadas ao ChatGPT, como parte do programa Advanced Account Security. O resultado prático: você pode proteger sua conta com um dispositivo físico no bolso, sem depender de senha ou código SMS que pode ser interceptado.
Contexto técnico
Uma YubiKey é um pequeno hardware que implementa o padrão FIDO2/WebAuthn, o protocolo de autenticação considerado hoje o mais resistente a ataques de phishing. O funcionamento é simples: o servidor envia um desafio criptográfico, a chave responde assinando com sua chave privada armazenada no chip, sem jamais expor esse segredo.
O pacote lançado vem com dois modelos:
- YubiKey C Nano (USB-C): fica plugada no laptop. Você nem precisa tirar da porta.
- YubiKey C NFC: aproxime do celular para autenticar via NFC.
Por ser FIDO-compliant, qualquer chave desse padrão funciona com o ChatGPT, não só as da Yubico.
O conceito importante aqui é o de passkey, que é uma credencial criptográfica que substitui a senha. Com passkey + hardware físico, você entra na conta sem digitar nada, e um atacante que roube sua senha ainda assim não consegue logar, porque não tem a chave física.
Fluxo tradicional:
usuário + senha → servidor verifica hash → OK (vulnerável a phishing)
Fluxo com FIDO2:
servidor envia challenge → YubiKey assina com chave privada
→ servidor verifica assinatura → OK (phishing não funciona)
A OpenAI já usava YubiKeys internamente para proteger seus próprios funcionários. Agora estendeu isso aos usuários comuns.
Impacto para devs
Se você usa o ChatGPT no dia a dia de desenvolvimento, seja para revisar código, gerar boilerplate ou explorar APIs, sua conta tem acesso a conversas com contexto sensível, projetos, prompts customizados e até integrações via GPTs.
Alguns pontos práticos para quem desenvolve:
1. Implemente FIDO2 nos seus próprios projetos. Bibliotecas como python-fido2 (Python) ou SimpleWebAuthn (Node.js) facilitam muito. Autenticação por hardware é o caminho para aplicações que lidam com dados sensíveis.
# Exemplo conceitual com python-fido2
from fido2.server import Fido2Server
server = Fido2Server({"id": "seusite.com", "name": "Seu App"})
# Gera o desafio para o cliente
options, state = server.register_begin(user)
2. SMS como segundo fator já não é suficiente. Ataques de SIM swapping comprometem o número de celular e, junto com ele, o código 2FA via SMS. FIDO2 elimina esse vetor porque a autenticação acontece localmente no hardware.
3. Considere a UX de recuperação. A própria OpenAI alertou: ao usar chave física, as opções de recuperação de conta ficam mais limitadas. Em sistemas que você constrói, planeje sempre um fluxo de recuperação seguro para quando o usuário perder o dispositivo.
4. Padrão FIDO2 é agnóstico de plataforma. Funciona em browsers modernos via Web Authentication API (navigator.credentials), sem precisar instalar plugins.
Conclusão
A adoção de chaves físicas FIDO2 pelo ChatGPT é mais do que uma feature de segurança para usuário final. É um sinal de que o mercado está amadurecendo em relação a autenticação forte, e que devs precisam entender esses protocolos para construir sistemas à altura. Senhas sozinhas são passado. Passkeys com hardware são o presente.