Mejor app autenticación 2FA 2026: Aegis vs Bitwarden vs Google vs Authy vs Microsoft

Aegis se ha consolidado como una referencia open-source en Android, sobre todo tras la retirada del cliente Desktop de Authy por Twilio. Esta comparativa se basa en las funcionalidades documentadas, los modelos de copia y cifrado, y el consenso de opiniones públicas - no en capturas de marketing.

¿Nuevo en el concepto? Empieza por qué hace una app de autenticación de dos factores.

Por eso justamente los códigos SMS son arriesgados - mira protección contra el SIM-swapping.

¿Prefiere guardar los códigos en su gestor de contraseñas en lugar de en una app aparte? Marque «Códigos 2FA integrados» en nuestro comparador de gestores: solo deja los planes que los incluyen de verdad y calcula el coste de cada uno a 1, 2 o 3 años. Proton Pass los rellena en su plan de pago Pass Plus; la sección 09 explica el compromiso y por qué seguimos guardando aparte los códigos del correo y del banco.

01 - Veredicto en 30 segundos: quién gana y en qué contexto

Podio 2026:

1. Aegis - Campeón Android de privacidad. Vault AES-256 local, backups manuales cifrados, GPL3 open source, cero cloud, cero tracking. Único defecto: Android únicamente.

2. Bitwarden Authenticator - Mejor opción si ya usas Bitwarden como gestor de contraseñas. Open source, sync E2EE, iOS + Android. Dos apps separadas, mismo ecosistema.

3. Google Authenticator - Mejor opción para el público general. iOS + Android, sync E2EE a Google Account (desde 2023), 600 millones de usuarios, interfaz minimalista. Código cerrado.

4. Microsoft Authenticator - Imprescindible en el ecosistema Microsoft/Azure. Notificaciones push, sin contraseña, backup Microsoft cloud.

5. Authy - Aún funcional en 2026 (móvil) pero ya no recomendado para nuevos usuarios. Desktop eliminado en agosto de 2024.

Recomendación rápida: Android privacy-first → Aegis. iOS o usuario general → Google Authenticator o Bitwarden Auth. Empresa Microsoft → Microsoft Authenticator. Códigos en el móvil y en el ordenador → Proton Authenticator (sección 09).

02 - ¿Qué es una app 2FA TOTP?

Una app de autenticación es una forma de autenticación de dos factores (2FA) - el factor «algo que tienes». TOTP = Time-based One-Time Password, definido en RFC 6238 (2011). El protocolo genera un código de 6 dígitos válido exactamente durante 30 segundos, calculado a partir de dos elementos:

• Una clave secreta (seed de 160 bits, compartida al activar 2FA, codificada en el QR code)
• La hora Unix actual redondeada a 30 segundos

El cálculo es un HMAC-SHA1 local - no se requiere conexión a internet. El servidor y tu app realizan el mismo cálculo; si los códigos coinciden, estás autenticado.

Comparativa de métodos 2FA por nivel de seguridad:

TOTP es 10 veces más resistente al SIM-swapping que el SMS. Aprende más sobre passkeys vs contraseñas para subir aún más en la jerarquía de seguridad.

03 - Comparativa técnica: 5 apps × 10 criterios

Todas las apps son completamente gratuitas - no hay nivel premium para el autenticador en sí.

Ninguna de estas cinco apps tiene versión de escritorio. Si también quieres tus códigos en un PC con Windows, un Mac o Linux, mira Proton Authenticator en la sección 09.

04 - Perfil de cada app

Aegis Authenticator

Lanzado: 2018. Mantenedor: beemdevelopment (comunidad open source). Plataforma: Solo Android (F-Droid + Google Play).

Fortalezas: El vault más robusto de esta comparativa. AES-256 cifrado en reposo. Importación/exportación JSON con cifrado. Backup automático a carpeta local o cloud Android (Drive, Syncthing, etc.) pero completamente controlado por el usuario. Interfaz cuidada, modo oscuro, búsqueda rápida, grupos personalizados.

Debilidades: Cero iOS. Cero sync automático nativo (configuración manual requerida). Para usuarios no técnicos, la configuración del backup puede resultar intimidante.

Usuario objetivo: Privacy-maxxers, usuarios Android avanzados, periodistas, investigadores de seguridad, cualquiera que quiera zero-trust hacia el cloud.

Bitwarden Authenticator

Lanzado: 2023 (app separada del gestor de contraseñas). Plataforma: iOS + Android.

Fortalezas: Sync E2EE via cuenta Bitwarden. Open source como Bitwarden (GPL3). Si ya usas Bitwarden como gestor de contraseñas, la integración es natural. Interfaz limpia, importación desde Google Authenticator y Authy.

Debilidades: Requiere cuenta Bitwarden (gratuita, pero dependencia cloud). App todavía joven (menos funciones avanzadas que Aegis). Nunca se fusionará con la app Bitwarden principal (decisión deliberada de la empresa para separación de riesgos).

Usuario objetivo: Usuarios Bitwarden existentes. Personas que quieren open source + sync multi-dispositivo sin fricción.

Google Authenticator

Lanzado: 2010. Usuarios: 600 millones+. Plataforma: iOS + Android.

Evolución clave 2023: Google añadió sync automático de códigos TOTP a la cuenta Google (E2EE opcional desde abril de 2024). Antes de 2023, sin backup nativo - perder el teléfono significaba perder los códigos. Este cambio resolvió el principal defecto de la app.

Fortalezas: App más sencilla de usar. Integración nativa ecosistema Google. 600M+ usuarios = compatibilidad casi universal. Sync E2EE disponible.

Debilidades: Código cerrado. Dependencia cuenta Google. Exportación de códigos limitada (formato protobuf Google, no TOTP estándar). Si pierdes tu cuenta Google, pierdes tus códigos TOTP.

Usuario objetivo: Usuarios generales. Usuarios ecosistema Google. Personas que no quieren configurar nada.

Authy (Twilio)

Lanzado: 2012. Adquirido por Twilio en 2015. Plataforma: iOS + Android (Desktop eliminado agosto 2024).

Lo que cambió: Twilio retiró oficialmente las apps Desktop de Authy (Windows, macOS, Linux) en agosto de 2024, citando el deseo de centrarse en móvil. Los usuarios Desktop perdieron el acceso - un golpe importante para power users. La app móvil permanece funcional.

Fortalezas: Multi-dispositivo móvil maduro. Backup cloud AES-256 con contraseña de backup separada. Interfaz limpia.

Debilidades: Código cerrado. Desktop eliminado. Twilio es una empresa B2B de telecomunicaciones, no una empresa security-first. Historial: filtración de números de teléfono en 2022 (33 millones de usuarios). No recomendado para nuevos usuarios.

Usuario objetivo: Usuarios existentes que no quieren migrar. Los nuevos usuarios deberían preferir Aegis o Bitwarden Auth.

Microsoft Authenticator

Lanzado: 2016. Plataforma: iOS + Android.

Fortalezas: Integración nativa Azure AD / Microsoft 365. Notificaciones push para aprobación en 1 toque. Modo sin contraseña (acceso sin password via notificación). Backup cloud vinculado a cuenta Microsoft.

Debilidades: Código cerrado. Dependencia cuenta Microsoft. Interfaz más pesada que las alternativas. Exportación de códigos TOTP imposible (datos bloqueados en el ecosistema Microsoft).

Usuario objetivo: Empresas con Azure AD. Usuarios Microsoft 365. Contexto MFA empresarial - consulta nuestra guía de gestores de contraseñas empresarial.

05 - Seguridad comparada: quién cifra qué, cómo y dónde

Riesgo #1: compromiso del cloud

Si el servidor cloud es comprometido, ¿qué ocurre?

• Aegis: cero riesgo cloud (sin cloud). Vault almacenado localmente, cifrado AES-256 incluso si copias manualmente el archivo a Drive.
• Bitwarden Auth: el cloud Bitwarden almacena datos cifrados en el cliente. Bitwarden completó una auditoría Cure53 en 2023. Cero texto plano en el servidor.
• Google Auth: Google almacena tus seeds TOTP en tu cuenta Google con E2EE opcional. Si alguien accede a tu cuenta Google → riesgo.
• Authy: servidores Twilio + contraseña de backup AES-256 separada. La clave de descifrado no abandona tu dispositivo si la contraseña de backup es fuerte.
• Microsoft Auth: almacenamiento Microsoft cloud. Si tu cuenta Microsoft es comprometida → riesgo.

Riesgo #2: cuenta central robada

Google Authenticator y Microsoft Authenticator crean un punto único de fallo: si tu cuenta Google/Microsoft es comprometida, el atacante puede acceder a tus códigos TOTP Y a tu email Y a tus otros servicios simultáneamente.

Regla de oro: usa una app 2FA separada de tu proveedor de email principal. Si usas Gmail, no uses Google Authenticator para cuentas críticas.

Riesgo #3: exportación y portabilidad

Para migrar: Aegis (JSON cifrado, trivial) > Bitwarden Auth (exportación JSON) > Authy (difícil, sin exportación directa) > Microsoft Auth (imposible de forma nativa) > Google Auth (formato protobuf Google, requiere la app para escanear).

La portabilidad importa para la seguridad a largo plazo: quedar encerrado en un ecosistema = riesgo de perder acceso en cambios de plataforma.

Riesgo n.º 4: la aplicación no es toda la defensa. Elijas la aplicación que elijas, un código TOTP puede retransmitirse en tiempo real desde una página de phishing, o esquivarse por completo con una cookie de sesión robada: ninguna de las dos cosas se arregla eligiendo una aplicación mejor. Cómo eluden los atacantes la MFA, y qué los detiene explica esos ataques y los ajustes que de verdad los debilitan.

06 - Migración: pasar de Authy (o Google) a Aegis, paso a paso

Authy Desktop desapareció en 2024 - si eras usuario Desktop, aquí te explicamos cómo migrar a Aegis correctamente.

Prerrequisitos: Aegis instalado en Android + Authy en móvil.

Método 1: Re-escanear QR codes (limpio pero lento)

1. Para cada servicio, ve a Configuración → Seguridad → 2FA
2. Desactiva el 2FA existente (introduce el código Authy para confirmar)
3. Reactiva el 2FA - aparece un QR code
4. Escanéalo con Aegis
5. Confirma que el código Aegis funciona

Método 2: Via Authy Desktop (si aún tienes acceso) La app Desktop Authy, antes de su eliminación, permitía exportar seeds mediante un script comunitario. Este método ya no está disponible para nuevos usuarios (Desktop eliminado).

Migración Google Authenticator → Aegis (método oficial):

1. Google Authenticator → Menú → Transferir cuentas → Exportar cuentas → Seleccionar todo
2. QR code de transferencia generado (formato protobuf Google)
3. Aegis → + → Escanear → Importar desde Google Authenticator
4. Escanea el QR con Aegis
5. No elimines Google Authenticator hasta haber probado Aegis en 2-3 sitios críticos

Después de la migración: activa inmediatamente el backup cifrado de Aegis (Configuración → Copias de seguridad → activar backup automático + establecer una contraseña de backup fuerte).

07 - Recomendación por perfil de usuario

Quieres máxima seguridad (Android) → Aegis. Vault cifrado local, cero cloud, open source, backups manuales cifrados. Configuración inicial ligeramente más compleja, pero cero compromiso en privacidad.

Ya usas Bitwarden → Bitwarden Authenticator. La integración es natural. Open source, sync E2EE. Nuestra comparativa Proton Pass vs Bitwarden puede ayudarte a validar tu elección de gestor principal.

Usuario general, iOS o Android → Google Authenticator. El más fácil de configurar, sync E2EE disponible, 600M+ usuarios. Código cerrado pero aceptable para uso estándar.

Empresa con Azure AD / Microsoft 365 → Microsoft Authenticator. Notificaciones push, sin contraseña, integración nativa. Para contexto MFA empresarial, consulta nuestra guía de gestores de contraseñas empresarial.

Ya usas Authy y funciona bien → quédate por ahora, pero planifica una migración a Aegis o Bitwarden Auth a medio plazo. El ecosistema Authy está estancado desde la eliminación del Desktop.

Quieres los códigos junto a tus contraseñas, en una sola app → Proton Pass Plus. Su autenticador integrado rellena el código de 6 dígitos justo después de la contraseña (la sección 09 explica el compromiso y por qué mantenemos aparte los códigos del banco y del correo). El plan gratuito basta para probar primero el gestor en sí.

08 - Otras dos opciones open source: 2FAS y Ente Auth

Si quieres open source pero el modelo de Aegis (solo Android, sin conexión por defecto) no te encaja, hay dos opciones multiplataforma que conviene conocer.

2FAS es una app TOTP open source para iOS y Android. Guarda los secretos en el dispositivo, ofrece un backup cifrado opcional en tu propio iCloud/Google Drive, e incluye una extensión de navegador que permite aprobar códigos desde el escritorio sin volver a sincronizar las seeds a un servidor. Es una opción sólida si quieres open source específicamente en iOS, donde Aegis no está disponible.

Ente Auth es el autenticador open source del equipo detrás de la app de fotos Ente. Añade sincronización en la nube cifrada de extremo a extremo entre dispositivos (iOS, Android, escritorio y web) sobre el TOTP estándar, con importación desde Google Authenticator, Aegis y 2FAS. Conviene a quienes quieren la apertura al estilo Aegis más sincronización multidispositivo automática sin vincular sus seeds a una cuenta Google o Microsoft.

Ambas son gratuitas y open source. Para uso sin conexión solo en Android, Aegis sigue liderando; para open source multiplataforma, 2FAS (local + backup opcional) y Ente Auth (sync E2EE) son las dos a comparar.

Recordatorio clave: el 2FA TOTP es una capa de seguridad adicional sobre tu gestor de contraseñas. Ambos son complementarios - una contraseña única y fuerte + TOTP = protección óptima.

Para definiciones de TOTP, HOTP, 2FA, passkey y llave física, consulta el glosario de autenticación de PwdFortress.

09 - Proton Authenticator, y los códigos dentro del gestor de contraseñas

Proton Authenticator es la app más reciente de esta guía y cubre el único hueco de la tabla principal: el escritorio. Los datos de abajo proceden de la página de producto de Proton, comprobada el 18 de octubre de 2026.

• Precio: gratuita en todas las plataformas, sin anuncios ni rastreo.
• Plataformas: iPhone, iPad, Apple Watch, Android, macOS, Windows y Linux.
• Cuenta: no hace falta. Ni correo ni número de teléfono. La cuenta Proton solo se necesita si quieres sincronizar varios dispositivos, y esa sincronización está cifrada de extremo a extremo.
• Importación: desde Google Authenticator, 2FAS, Aegis, Bitwarden Authenticator, Ente Auth y LastPass Authenticator. Authy no está en la lista, así que sus usuarios siguen teniendo que volver a escanear los códigos QR (sección 06).
• Exportación: sí, así que irse es tan fácil como llegar.
• Open source: sí, como todas las apps de Proton.

Para quién: quien quiere los mismos códigos en el móvil y en el ordenador sin confiárselos a Google o Microsoft. En un uso solo Android y sin nube, Aegis mantiene la ventaja; Proton Authenticator es la respuesta open source cuando también usas un ordenador.

¿Conviene guardar los códigos 2FA en el gestor de contraseñas?

Varios gestores pueden guardar el secreto TOTP junto al inicio de sesión y rellenar el código de 6 dígitos por ti. Proton Pass lo hace en su plan de pago (Pass Plus, 2,99 USD al mes facturados 35,88 USD al año, comprobado en proton.me el 18 de octubre de 2026; el autenticador integrado no está en el plan gratuito).

El equilibrio, con honestidad:

• A favor: una app en lugar de dos, el código se rellena solo, y un autorrelleno que solo funciona en el dominio real también ayuda contra las páginas de phishing que imitan un sitio.
• En contra: contraseña y segundo factor están en la misma bóveda. Si la bóveda se abre (contraseña maestra robada y dispositivo desbloqueado), los dos factores caen a la vez. Por eso mantenemos un autenticador separado, o una llave física, para el correo y el banco, y usamos los códigos integrados para todo lo demás.

Si ese reparto te encaja, Proton Pass es el gestor que combinaríamos con Proton Authenticator: misma empresa, mismo modelo de cifrado de extremo a extremo, y puedes empezar con el plan gratuito antes de decidir si los códigos integrados merecen la suscripción. Si aún lo estás valorando, nuestro análisis ¿es seguro Proton Pass? repasa su cifrado, sus auditorías y los límites del plan gratis.

PwdFortress analiza apps de seguridad de forma independiente, a partir de la documentación pública y del análisis de funcionalidades. Ninguna app 2FA independiente de esta comparativa paga comisión. Los enlaces a Proton Pass de este artículo son enlaces de afiliado: si te suscribes a través de él, podemos recibir una comisión, sin coste adicional para ti. Proton Authenticator es gratuita y no nos reporta nada. Los enlaces internos a Bitwarden son editoriales: Bitwarden no tiene programa de afiliados y no nos paga nada.

Guías relacionadas

• Llave de seguridad vs aplicación de autenticación: lo que dice realmente el NIST sobre el phishing
• ¿Qué son los códigos de recuperación? La lista que pasaste de largo y dónde debería vivir
• Aegis vs Google Authenticator: ¿bóveda cifrada local o sincronización con la cuenta de Google?
• Aegis vs Authy: bóveda cifrada local o sincronización en la nube entre dispositivos