O Google publicou em 27 de julho de 2026 uma nova exigência de segurança para a Google Ads API: usuários que seguirem o fluxo de autenticação por usuário para gerar novos tokens OAuth 2.0 precisarão autenticar com passkey. O rollout começa em 5 de agosto de 2026 e será ativado para todos os usuários ao longo das semanas seguintes, segundo o Google Ads Developer Blog.
Para o dono de uma pequena ou média empresa, isso pode parecer assunto de desenvolvedor. Em parte, é. Mas existe um ponto prático: muitas PMEs não mexem diretamente na API do Google Ads, mas dependem de agência, ferramenta de relatório, script, Google Ads Editor, BigQuery Data Transfer, Looker Studio ou outra integração que usa credenciais para administrar campanhas, puxar dados ou automatizar rotinas.
Esta matéria segue a linha Notícia & Autoridade, com estágio dominante de meio de funil. Ela ajuda o leitor a avançar de uma visão operacional de mídia paga para uma conversa mais madura sobre acesso, segurança, governança e continuidade das campanhas.
O que mudou no Google Ads
Segundo o Google, a Google Ads API passará a exigir passkeys para usuários que usam o fluxo de autenticação por usuário na geração de novos OAuth 2.0 refresh tokens. Na prática, quando esse fluxo for usado depois que a mudança estiver ativa, o usuário deverá autenticar com uma passkey.
O Google afirma que formas de autenticação baseadas apenas em senha, ou em métodos tradicionais de 2FA como códigos por SMS e aplicativos TOTP, deixarão de ser aceitas nesse fluxo específico. A empresa também informa que tokens OAuth existentes não serão afetados e continuarão funcionando normalmente.
A mudança não afeta o fluxo por conta de serviço. O próprio Google recomenda o uso de service account workflow para aplicações que precisam de rotinas automatizadas ou offline.
Por que isso importa para PMEs brasileiras
A maioria dos empresários não sabe quais ferramentas conectadas ao Google Ads usam API por trás. E esse é justamente o risco. Uma PME pode ter campanhas rodando com agência, painel de BI, automação de relatórios, importação de dados para BigQuery ou scripts de rotina sem saber qual credencial sustenta tudo isso.
Se uma ferramenta precisar gerar um novo token, se uma agência trocar usuários, se um acesso for recriado ou se um relatório precisar ser reconectado, a passkey pode entrar no caminho. Não é motivo para pânico. Mas é motivo para organizar acesso antes que a urgência apareça no meio de uma campanha importante.
A leitura da AgenciAR é simples: essa mudança reforça que mídia paga deixou de ser só anúncio e orçamento. Também é operação, segurança e continuidade. Quando a conta de anúncios depende de um login compartilhado, de uma pessoa que saiu da empresa ou de uma ferramenta que ninguém revisa, o problema não é técnico. É gestão.
Quem deve prestar atenção
O alerta vale especialmente para PMEs que trabalham com agência de tráfego pago, consultor externo, freelancer, equipe interna pequena ou ferramentas conectadas ao Google Ads.
Também merece atenção quem usa Google Ads Editor, Google Ads scripts, transferência de dados do Google Ads para BigQuery, Looker Studio ou integrações de automação que fazem leitura e atualização de informações da conta.
O Google afirma que produtos que usam a Google Ads API, como Google Ads Editor, Google Ads scripts, BigQuery Data Transfer Service e Data Studio, também passarão a exigir autenticação baseada em passkey. Se o usuário ainda não tiver passkey ativa, será solicitado a adicionar uma.
O que não deve ser confundido
A mudança não quer dizer que toda campanha vai parar em 5 de agosto. Também não significa que todo anunciante precisará mexer em código. O ponto oficial é mais específico: a exigência aparece em fluxos de autenticação e em ações sensíveis ligadas a acesso e integrações.
O Google Ads Help explica que passkeys podem ser exigidas para concluir ações sensíveis, como mudanças de vínculo de conta ou alterações de acesso de usuários. A documentação também informa que, sem passkey criada, o usuário pode ficar impedido de concluir essas ações.
Para PMEs, a mensagem prática é: não espere aparecer uma tela de bloqueio para descobrir quem tem acesso administrativo, quem usa qual credencial e qual ferramenta depende daquele login.
O que perguntar para a agência ou fornecedor
A primeira pergunta é direta: nossa conta do Google Ads tem usuários individuais ou ainda depende de login compartilhado? O Google afirma que passkeys são pessoais e não foram feitas para serem compartilhadas por um grupo. Isso pressiona agências e empresas a trabalharem com acessos individuais.
A segunda pergunta é operacional: quais ferramentas estão conectadas à conta? O empresário não precisa saber programar, mas precisa saber se há Google Ads Editor, scripts, Looker Studio, BigQuery, CRM, planilha automatizada ou software de gestão puxando dados da conta.
A terceira pergunta é de continuidade: quem é o administrador responsável se for preciso aprovar, recriar ou revisar acesso? Se tudo depende de uma pessoa, a empresa tem um ponto único de falha.
A quarta pergunta é de prazo: os usuários que administram a conta já criaram passkey? O Google informa que uma nova passkey pode passar por atraso de segurança antes de ficar confiável e operacional. No Google Ads Help, há menção de que novas passkeys podem levar de um a dois dias para parear com Ads, e o anúncio da API cita possível atraso de segurança de sete dias em determinados cenários.
Como se preparar sem complicar
O caminho mais prático é revisar os acessos da conta do Google Ads. Cada pessoa que administra ou opera ações sensíveis deve ter usuário próprio, com permissão adequada e passkey configurada. A empresa também deve remover acessos antigos de profissionais, fornecedores ou contas que não fazem mais parte da operação.
Depois, vale pedir ao fornecedor uma lista simples das integrações ativas. Não precisa virar auditoria pesada. Um documento com nome da ferramenta, finalidade, responsável e tipo de acesso já evita boa parte da confusão.
Por fim, campanhas importantes precisam de plano de contingência. Se um painel parar de atualizar ou se uma ferramenta pedir reautorização, quem resolve? Em quanto tempo? Com qual acesso? Essas respostas são pequenas, mas fazem diferença quando o orçamento está rodando.
A análise da AgenciAR
A notícia é técnica, mas o aprendizado é de gestão. PMEs costumam tratar conta de anúncio como algo que a agência “tem acesso”. Esse modelo funcionava quando a operação era mais simples. Com mais automação, relatórios conectados, scripts, IA e integrações, acesso virou parte da infraestrutura comercial.
A exigência de passkeys é positiva do ponto de vista de segurança porque reduz risco de phishing, senha compartilhada e acesso indevido. Ao mesmo tempo, ela expõe empresas que ainda operam mídia paga com credenciais improvisadas.
Para o dono de PME, a melhor resposta não é tentar entender cada detalhe da API. É cobrar organização: usuários individuais, permissões corretas, passkeys ativas, integrações mapeadas e uma rotina clara para mudanças de acesso.
Mídia paga boa não depende apenas de anúncio melhor. Depende também de uma conta que não quebra quando alguém troca de celular, sai da empresa ou precisa reautorizar uma ferramenta no meio do mês.
Fontes consultadas
Google Ads Developer Blog, "Passkey authentication requirement for the Google Ads API", publicado em 27 de julho de 2026. https://ads-developers.googleblog.com/2026/
Google Ads Help, "Use a passkey to complete sensitive actions". https://support.google.com/google-ads/answer/16917887
Google Ads API Documentation, "Security requirements", última atualização indicada em 22 de julho de 2026. https://developers.google.com/google-ads/api/docs/oauth/security-requirements
O recorte editorial
A pauta foi escolhida porque combina novidade oficial, data próxima de rollout e impacto prático em mídia paga, mesmo sendo um tema de bastidor. O ângulo da AgenciAR não é ensinar API, mas traduzir a mudança para a rotina de PMEs que dependem de terceiros e ferramentas conectadas para manter campanhas, relatórios e automações funcionando.
FAQ
Toda PME que anuncia no Google Ads será afetada?
Não necessariamente. A exigência é ligada a fluxos de autenticação e ações sensíveis, especialmente em contextos de API, integrações e ferramentas conectadas. Mesmo assim, PMEs devem revisar acessos porque muitas usam esses recursos indiretamente por meio de agência ou fornecedor.
Minhas campanhas podem parar em 5 de agosto de 2026?
O anúncio do Google não diz que campanhas ativas serão pausadas nessa data. O risco mais provável está em reautorizações, novos tokens, mudanças de acesso ou ferramentas conectadas que precisem autenticar novamente.
O que devo pedir para minha agência agora?
Peça três coisas: confirmação de usuários individuais, passkeys configuradas para quem administra a conta e lista das ferramentas conectadas ao Google Ads. Também vale definir quem resolve reautorização ou problema de acesso em caso de urgência.
Login compartilhado ainda faz sentido?
Não. O próprio Google Ads Help afirma que passkeys são pessoais e que agências devem migrar para acesso individual por usuário. Para PME, isso melhora segurança e facilita responsabilização.
