Descrição: Entenda o bloqueio do PIN do Windows Hello e compare sessão salva, API oficial, WebAuthn virtual e as mudanças de segurança de 2026.
O robô trabalha sozinho. Você vira o plantonista do PIN
O navegador clica em entrar, preenche o formulário e segue direitinho. No último passo, o Windows pergunta: “Digite seu PIN”. Você criou um bot para trabalhar de madrugada e ganhou um emprego de operador de PIN.
Resposta: não existe um método padrão e confiável para um script comum confirmar sem ninguém um passkey já guardado no Windows Hello. Mas é possível reduzir a intervenção usando uma sessão autorizada, uma API oficial ou outra credencial virtual cadastrada separadamente, quando o serviço permite.[1][2][3]
PIN não é senha do site
O Windows Hello protege uma chave privada no dispositivo. PIN, rosto ou impressão digital confirmam o usuário para que a chave assine o desafio de autenticação. O site não recebe aqueles números como senha convencional.[1][4] Automatizar campos HTML, portanto, é diferente de comandar a janela de segurança do Windows. O robô passa pela recepção, mas o porteiro ainda pede identificação.
Janeiro de 2026 trouxe mais restrições
A Microsoft documentou que atualizações desde 13 de janeiro de 2026 restringem entradas automáticas e remotas não confiáveis nas janelas de credenciais do Windows. Teclados físicos locais e alguns aplicativos com privilégios específicos são diferentes de teclas simuladas comuns.[5]
A empresa também descreveu problemas do Power Automate Desktop com esses diálogos. Testar Chrome ou Firefox em vez do Edge é uma solução para aquele problema específico, não a promessa de que qualquer PIN do Windows Hello será aprovado sozinho.[6]
Cinco caminhos
Reutilizar a sessão: faça login de verdade uma vez e mantenha a sessão enquanto o site permitir. O Playwright salva cookies e outros estados, mas expiração e verificações extras ainda exigem pessoas. Proteja o arquivo de sessão como uma senha; nada de GitHub público.[2]
API oficial: se o serviço tem autenticação para programas, normalmente é a arquitetura mais adequada. O passkey exigido na web não define sozinho as regras da API.
WebAuthn virtual: Chrome DevTools e Playwright simulam cadastro e autenticação de passkeys, principalmente para testes. Não exportam a chave já guardada no Windows Hello. Um site real precisa permitir outra credencial e esse uso.[7][3]
Rosto ou digital: evita digitar, mas requer presença humana.[4]
Teclas automáticas: AutoHotkey, PowerShell ou emuladores de teclado USB podem esbarrar nas proteções do Windows. Guardar PIN em texto puro aumenta o risco.[5]
Escolha a ordem certa
Para tarefas repetitivas, cheque se a sessão persiste. Para operação contínua, procure uma API. Para testes do seu site, use WebAuthn virtual. Se um serviço exigir nova verificação humana, pause e avise. Teste após reiniciar, quando a sessão expirar e antes de ações delicadas.
Moral da história
Não basta ensinar o robô a digitar quatro números. É preciso escolher um caminho autorizado para automação. Senão, o melhor bot do mundo ainda precisa do funcionário humano do turno da noite: você.
- Microsoft Learn: Support for Passkeys in Windows learn.microsoft.com
- Playwright: Authentication and session state playwright.dev
- Playwright: Virtual WebAuthn credentials playwright.dev
- Microsoft Learn: Passkey verification on Windows learn.microsoft.com
- Microsoft Support: Credential autofill restrictions, Windows January 2026 update support.microsoft.com
- Microsoft Learn: Power Automate desktop Windows credential dialog issues learn.microsoft.com
- Chrome for Developers: Emulate WebAuthn authenticators developer.chrome.com
