Aegis se ha consolidado como una referencia open-source en Android, sobre todo tras la retirada del cliente Desktop de Authy por Twilio. Esta comparativa se basa en las funcionalidades documentadas, los modelos de copia y cifrado, y el consenso de opiniones públicas - no en capturas de marketing.
¿Nuevo en el concepto? Empieza por qué hace una app de autenticación de dos factores.
Por eso justamente los códigos SMS son arriesgados - mira protección contra el SIM-swapping.
01 - Veredicto en 30 segundos: quién gana y en qué contexto
Podio 2026:
1. Aegis - Campeón Android de privacidad. Vault AES-256 local, backups manuales cifrados, GPL3 open source, cero cloud, cero tracking. Único defecto: Android únicamente.
2. Bitwarden Authenticator - Mejor opción si ya usas Bitwarden como gestor de contraseñas. Open source, sync E2EE, iOS + Android. Dos apps separadas, mismo ecosistema.
3. Google Authenticator - Mejor opción para el público general. iOS + Android, sync E2EE a Google Account (desde 2023), 600 millones de usuarios, interfaz minimalista. Código cerrado.
4. Microsoft Authenticator - Imprescindible en el ecosistema Microsoft/Azure. Notificaciones push, sin contraseña, backup Microsoft cloud.
5. Authy - Aún funcional en 2026 (móvil) pero ya no recomendado para nuevos usuarios. Desktop eliminado en agosto de 2024.
Recomendación rápida: Android privacy-first → Aegis. iOS o usuario general → Google Authenticator o Bitwarden Auth. Empresa Microsoft → Microsoft Authenticator.
02 - ¿Qué es una app 2FA TOTP?
Una app de autenticación es una forma de autenticación de dos factores (2FA) - el factor «algo que tienes». TOTP = Time-based One-Time Password, definido en RFC 6238 (2011). El protocolo genera un código de 6 dígitos válido exactamente durante 30 segundos, calculado a partir de dos elementos:
- Una clave secreta (seed de 160 bits, compartida al activar 2FA, codificada en el QR code)
- La hora Unix actual redondeada a 30 segundos
El cálculo es un HMAC-SHA1 local - no se requiere conexión a internet. El servidor y tu app realizan el mismo cálculo; si los códigos coinciden, estás autenticado.
Comparativa de métodos 2FA por nivel de seguridad:
| Método | ¿Phishable? | ¿Resistente SIM-swap? | ¿Requiere red? |
|---|---|---|---|
| FIDO2/Passkeys | No ✅ | Sí ✅ | No ✅ |
| TOTP (apps 2FA) | Sí (tiempo real) | Sí ✅ | No ✅ |
| Notificación push | Sí (fatiga) | Sí ✅ | Sí |
| SMS OTP | Sí | No ❌ | Sí |
TOTP es 10 veces más resistente al SIM-swapping que el SMS. Aprende más sobre passkeys vs contraseñas para subir aún más en la jerarquía de seguridad.
03 - Comparativa técnica: 5 apps × 10 criterios
| Criterio | Aegis | Bitwarden Auth | Google Auth | Authy | Microsoft Auth |
|---|---|---|---|---|---|
| Open source | ✅ GPL3 | ✅ GPL3 | ❌ | ❌ | ❌ |
| Plataformas | Solo Android | iOS + Android | iOS + Android | iOS + Android | iOS + Android |
| Sync cloud | ❌ (solo local) | ✅ E2EE Bitwarden | ✅ E2EE Google | ✅ AES-256 | ✅ Microsoft cloud |
| Backup cifrado | ✅ Manual AES-256 | ✅ Auto E2EE | ✅ E2EE Google | ✅ AES-256 cloud | ✅ Microsoft |
| Multi-dispositivo | ❌ | ✅ | ✅ | ✅ | ✅ |
| Desbloqueo biométrico | ✅ | ✅ | ✅ | ✅ | ✅ |
| Búsqueda vault | ✅ | ✅ | ✅ | ✅ | ✅ |
| Exportar datos | ✅ JSON/CSV | ✅ | ⚠️ Limitado | ⚠️ Difícil | ❌ |
| Desktop/Web | ❌ | ❌ | ❌ | ❌ (retirado 2024) | ❌ |
| Precio | Gratis | Gratis | Gratis | Gratis | Gratis |
Todas las apps son completamente gratuitas - no hay nivel premium para el autenticador en sí.
04 - Perfil de cada app
Aegis Authenticator
Lanzado: 2018. Mantenedor: beemdevelopment (comunidad open source). Plataforma: Solo Android (F-Droid + Google Play).
Fortalezas: El vault más robusto de esta comparativa. AES-256 cifrado en reposo. Importación/exportación JSON con cifrado. Backup automático a carpeta local o cloud Android (Drive, Syncthing, etc.) pero completamente controlado por el usuario. Interfaz cuidada, modo oscuro, búsqueda rápida, grupos personalizados.
Debilidades: Cero iOS. Cero sync automático nativo (configuración manual requerida). Para usuarios no técnicos, la configuración del backup puede resultar intimidante.
Usuario objetivo: Privacy-maxxers, usuarios Android avanzados, periodistas, investigadores de seguridad, cualquiera que quiera zero-trust hacia el cloud.
Bitwarden Authenticator
Lanzado: 2023 (app separada del gestor de contraseñas). Plataforma: iOS + Android.
Fortalezas: Sync E2EE via cuenta Bitwarden. Open source como Bitwarden (GPL3). Si ya usas Bitwarden como gestor de contraseñas, la integración es natural. Interfaz limpia, importación desde Google Authenticator y Authy.
Debilidades: Requiere cuenta Bitwarden (gratuita, pero dependencia cloud). App todavía joven (menos funciones avanzadas que Aegis). Nunca se fusionará con la app Bitwarden principal (decisión deliberada de la empresa para separación de riesgos).
Usuario objetivo: Usuarios Bitwarden existentes. Personas que quieren open source + sync multi-dispositivo sin fricción.
Google Authenticator
Lanzado: 2010. Usuarios: 600 millones+. Plataforma: iOS + Android.
Evolución clave 2023: Google añadió sync automático de códigos TOTP a la cuenta Google (E2EE opcional desde abril de 2024). Antes de 2023, sin backup nativo - perder el teléfono significaba perder los códigos. Este cambio resolvió el principal defecto de la app.
Fortalezas: App más sencilla de usar. Integración nativa ecosistema Google. 600M+ usuarios = compatibilidad casi universal. Sync E2EE disponible.
Debilidades: Código cerrado. Dependencia cuenta Google. Exportación de códigos limitada (formato protobuf Google, no TOTP estándar). Si pierdes tu cuenta Google, pierdes tus códigos TOTP.
Usuario objetivo: Usuarios generales. Usuarios ecosistema Google. Personas que no quieren configurar nada.
Authy (Twilio)
Lanzado: 2012. Adquirido por Twilio en 2015. Plataforma: iOS + Android (Desktop eliminado agosto 2024).
Lo que cambió: Twilio retiró oficialmente las apps Desktop de Authy (Windows, macOS, Linux) en agosto de 2024, citando el deseo de centrarse en móvil. Los usuarios Desktop perdieron el acceso - un golpe importante para power users. La app móvil permanece funcional.
Fortalezas: Multi-dispositivo móvil maduro. Backup cloud AES-256 con contraseña de backup separada. Interfaz limpia.
Debilidades: Código cerrado. Desktop eliminado. Twilio es una empresa B2B de telecomunicaciones, no una empresa security-first. Historial: filtración de números de teléfono en 2022 (33 millones de usuarios). No recomendado para nuevos usuarios.
Usuario objetivo: Usuarios existentes que no quieren migrar. Los nuevos usuarios deberían preferir Aegis o Bitwarden Auth.
Microsoft Authenticator
Lanzado: 2016. Plataforma: iOS + Android.
Fortalezas: Integración nativa Azure AD / Microsoft 365. Notificaciones push para aprobación en 1 toque. Modo sin contraseña (acceso sin password via notificación). Backup cloud vinculado a cuenta Microsoft.
Debilidades: Código cerrado. Dependencia cuenta Microsoft. Interfaz más pesada que las alternativas. Exportación de códigos TOTP imposible (datos bloqueados en el ecosistema Microsoft).
Usuario objetivo: Empresas con Azure AD. Usuarios Microsoft 365. Contexto MFA empresarial - consulta nuestra guía de gestores de contraseñas empresarial.
05 - Seguridad comparada: quién cifra qué, cómo y dónde
Riesgo #1: compromiso del cloud
Si el servidor cloud es comprometido, ¿qué ocurre?
- Aegis: cero riesgo cloud (sin cloud). Vault almacenado localmente, cifrado AES-256 incluso si copias manualmente el archivo a Drive.
- Bitwarden Auth: el cloud Bitwarden almacena datos cifrados en el cliente. Bitwarden completó una auditoría Cure53 en 2023. Cero texto plano en el servidor.
- Google Auth: Google almacena tus seeds TOTP en tu cuenta Google con E2EE opcional. Si alguien accede a tu cuenta Google → riesgo.
- Authy: servidores Twilio + contraseña de backup AES-256 separada. La clave de descifrado no abandona tu dispositivo si la contraseña de backup es fuerte.
- Microsoft Auth: almacenamiento Microsoft cloud. Si tu cuenta Microsoft es comprometida → riesgo.
Riesgo #2: cuenta central robada
Google Authenticator y Microsoft Authenticator crean un punto único de fallo: si tu cuenta Google/Microsoft es comprometida, el atacante puede acceder a tus códigos TOTP Y a tu email Y a tus otros servicios simultáneamente.
Regla de oro: usa una app 2FA separada de tu proveedor de email principal. Si usas Gmail, no uses Google Authenticator para cuentas críticas.
Riesgo #3: exportación y portabilidad
Para migrar: Aegis (JSON cifrado, trivial) > Bitwarden Auth (exportación JSON) > Authy (difícil, sin exportación directa) > Microsoft Auth (imposible de forma nativa) > Google Auth (formato protobuf Google, requiere la app para escanear).
La portabilidad importa para la seguridad a largo plazo: quedar encerrado en un ecosistema = riesgo de perder acceso en cambios de plataforma.
06 - Migración: pasar de Authy (o Google) a Aegis, paso a paso
Authy Desktop desapareció en 2024 - si eras usuario Desktop, aquí te explicamos cómo migrar a Aegis correctamente.
Prerrequisitos: Aegis instalado en Android + Authy en móvil.
Método 1: Re-escanear QR codes (limpio pero lento)
- Para cada servicio, ve a Configuración → Seguridad → 2FA
- Desactiva el 2FA existente (introduce el código Authy para confirmar)
- Reactiva el 2FA - aparece un QR code
- Escanéalo con Aegis
- Confirma que el código Aegis funciona
Método 2: Via Authy Desktop (si aún tienes acceso) La app Desktop Authy, antes de su eliminación, permitía exportar seeds mediante un script comunitario. Este método ya no está disponible para nuevos usuarios (Desktop eliminado).
Migración Google Authenticator → Aegis (método oficial):
- Google Authenticator → Menú → Transferir cuentas → Exportar cuentas → Seleccionar todo
- QR code de transferencia generado (formato protobuf Google)
- Aegis → + → Escanear → Importar desde Google Authenticator
- Escanea el QR con Aegis
- No elimines Google Authenticator hasta haber probado Aegis en 2-3 sitios críticos
Después de la migración: activa inmediatamente el backup cifrado de Aegis (Configuración → Copias de seguridad → activar backup automático + establecer una contraseña de backup fuerte).
07 - Recomendación por perfil de usuario
Quieres máxima seguridad (Android) → Aegis. Vault cifrado local, cero cloud, open source, backups manuales cifrados. Configuración inicial ligeramente más compleja, pero cero compromiso en privacidad.
Ya usas Bitwarden → Bitwarden Authenticator. La integración es natural. Open source, sync E2EE. Nuestra comparativa Proton Pass vs Bitwarden puede ayudarte a validar tu elección de gestor principal.
Usuario general, iOS o Android → Google Authenticator. El más fácil de configurar, sync E2EE disponible, 600M+ usuarios. Código cerrado pero aceptable para uso estándar.
Empresa con Azure AD / Microsoft 365 → Microsoft Authenticator. Notificaciones push, sin contraseña, integración nativa. Para contexto MFA empresarial, consulta nuestra guía de gestores de contraseñas empresarial.
Ya usas Authy y funciona bien → quédate por ahora, pero planifica una migración a Aegis o Bitwarden Auth a medio plazo. El ecosistema Authy está estancado desde la eliminación del Desktop.
08 - Otras dos opciones open source: 2FAS y Ente Auth
Si quieres open source pero el modelo de Aegis (solo Android, sin conexión por defecto) no te encaja, hay dos opciones multiplataforma que conviene conocer.
2FAS es una app TOTP open source para iOS y Android. Guarda los secretos en el dispositivo, ofrece un backup cifrado opcional en tu propio iCloud/Google Drive, e incluye una extensión de navegador que permite aprobar códigos desde el escritorio sin volver a sincronizar las seeds a un servidor. Es una opción sólida si quieres open source específicamente en iOS, donde Aegis no está disponible.
Ente Auth es el autenticador open source del equipo detrás de la app de fotos Ente. Añade sincronización en la nube cifrada de extremo a extremo entre dispositivos (iOS, Android, escritorio y web) sobre el TOTP estándar, con importación desde Google Authenticator, Aegis y 2FAS. Conviene a quienes quieren la apertura al estilo Aegis más sincronización multidispositivo automática sin vincular sus seeds a una cuenta Google o Microsoft.
Ambas son gratuitas y open source. Para uso sin conexión solo en Android, Aegis sigue liderando; para open source multiplataforma, 2FAS (local + backup opcional) y Ente Auth (sync E2EE) son las dos a comparar.
Recordatorio clave: el 2FA TOTP es una capa de seguridad adicional sobre tu gestor de contraseñas. Ambos son complementarios - una contraseña única y fuerte + TOTP = protección óptima.
Para definiciones de TOTP, HOTP, 2FA, passkey y llave física, consulta el glosario de autenticación de PwdFortress.
PwdFortress analiza apps de seguridad de forma independiente, a partir de la documentación pública y del análisis de funcionalidades. Ninguna app 2FA de esta comparativa paga comisión. Los enlaces internos a Bitwarden se relacionan con nuestro partnership con Bitwarden gestor de contraseñas (producto distinto).
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Un gestor con 2FA y passkeys integrados → NordPassGuarda TOTP y passkeys · XChaCha20 · plan gratis→Preguntas frecuentes
¿Cuál es la mejor app autenticadora 2FA en 2026?
Para **máxima privacidad**: Aegis (Android, open source, vault AES-256 local, cero cloud). Para **usuarios mainstream iOS/Android**: Google Authenticator (sync E2EE cuenta Google, 600M+ usuarios). Para **usuarios Bitwarden existentes**: Bitwarden Authenticator (sync nativo, mismo ecosistema). Para **ecosistema Microsoft**: Microsoft Authenticator (notificaciones push, sin contraseña). Authy sigue funcional en móvil pero Twilio retiró la app Desktop en 2024.
¿Qué es TOTP y en qué se diferencia del SMS 2FA?
**TOTP** (Time-based One-Time Password, RFC 6238) genera un código de 6 dígitos válido durante 30 segundos, calculado localmente a partir de una clave secreta compartida y la hora Unix. No se requiere conexión a internet para generar el código. **SMS 2FA** envía el código via operador telefónico - vulnerable al SIM-swapping (el atacante transfiere tu número a su operador). TOTP es estadísticamente 10 veces más resistente que el SMS al phishing dirigido.
Aegis vs Google Authenticator: ¿cuál elegir?
**Aegis** si estás en Android y la privacidad es prioritaria: vault cifrado AES-256 local, backups manuales cifrados, cero cloud, open source GPL3. **Google Authenticator** si quieres simplicidad y estás en el ecosistema Google: sync automático E2EE a tu cuenta Google desde 2023, iOS + Android, sin configuración de backup. Para usuarios de iOS, Aegis no está disponible - Google Authenticator o Bitwarden Authenticator son las mejores opciones.
¿Sigue recomendándose Authy en 2026?
Authy sigue siendo funcional en 2026 en iOS y Android con sync cloud multi-dispositivo y cifrado AES-256. **El cambio clave**: Twilio retiró la app Desktop de Authy en agosto de 2024. El ecosistema móvil permanece intacto. Sin embargo, como Authy es código cerrado y propiedad de Twilio (empresa B2B de telecomunicaciones, no security-first), preferimos Aegis (Android) o Bitwarden Authenticator para nuevos usuarios.
¿Cómo migrar de Google Authenticator a Aegis?
1. En Google Authenticator, pulsa los 3 puntos → **Transferir cuentas** → **Exportar cuentas**. 2. Aparece un QR de transferencia (formato protobuf Google). 3. En Aegis → **+** → **Importar** → **Google Authenticator**. 4. Escanea el QR con Aegis. 5. Tus códigos TOTP se importan. **Advertencia**: NO elimines Google Authenticator hasta haber verificado que los códigos Aegis funcionan en 2-3 sitios.
¿Funcionan las apps 2FA sin internet?
**Sí**. TOTP se calcula localmente (clave secreta + hora Unix). No se necesita conexión para generar códigos. La sincronización cloud (backup, multi-dispositivo) requiere internet pero **la generación de códigos funciona sin conexión**. Esta es una ventaja importante sobre el SMS 2FA que depende de la red telefónica.
¿Qué pasa si pierdo el teléfono con mi app 2FA?
**Sin backup**: pierdes acceso a todas las cuentas protegidas por 2FA - tendrás que contactar con el soporte de cada servicio (largo y difícil). **Con backup cifrado** (Aegis, Bitwarden Auth, Google Auth E2EE): restauras tus códigos en un teléfono nuevo en minutos. **Regla de oro**: configura el backup antes de activar 2FA en cuentas críticas.
¿Puede Microsoft Authenticator reemplazar a Google Authenticator?
**Sí**, Microsoft Authenticator soporta TOTP estándar y puede importar cuentas de Google Authenticator vía QR codes individuales. Su punto fuerte es la integración Microsoft (Azure AD, Office 365, sin contraseña via notificación push). Pero no es open source y el backup cloud está vinculado a tu cuenta Microsoft. Para empresas con Azure AD: elección natural. Para particulares sin ecosistema MS: Google Authenticator o Bitwarden Auth son más simples.
¿Aegis o Bitwarden Authenticator: cuál elegir?
**Aegis** es solo para Android y sin conexión por defecto (vault AES-256 local, copias cifradas manuales, open source GPL3) - ideal para cero nube y máximo control. **Bitwarden Authenticator** es multiplataforma (iOS + Android) y guarda los secretos TOTP cifrados de extremo a extremo, sincronizados vía tu cuenta Bitwarden - ideal si ya usas Bitwarden y quieres sincronización multidispositivo automática. Ambos son open source: elige Aegis para privacidad sin conexión en Android, Bitwarden Authenticator para comodidad multidispositivo en un setup Bitwarden existente.
¿Authy o Bitwarden Authenticator: cuál es mejor en 2026?
**Bitwarden Authenticator** es open source, multiplataforma, con sincronización cifrada de extremo a extremo vinculada a una cuenta Bitwarden, y se integra con el gestor de contraseñas Bitwarden. **Authy** es closed source, propiedad de Twilio, con sincronización cloud multidispositivo (AES-256) pero sin app de escritorio desde agosto de 2024. Para usuarios nuevos recomendamos Bitwarden Authenticator: open source y ecosistema activo. Authy sigue funcionando si ya dependes de él, pero ya no es nuestra opción por defecto.
¿Hay un autenticador open source en iOS, ya que Aegis es solo para Android?
Sí. **2FAS** es open source en iOS y Android, guarda los secretos en el dispositivo y ofrece un backup cifrado opcional en tu propio iCloud/Google Drive. **Ente Auth** también es open source y añade sincronización multidispositivo cifrada de extremo a extremo (iOS, Android, escritorio y web) con importación desde Google Authenticator y Aegis. **Bitwarden Authenticator** es otra opción open source en iOS con sync E2EE. En iOS, por tanto, no estás limitado a apps closed source - 2FAS, Ente Auth y Bitwarden Authenticator son todos open source.
