7 migliori app di autenticazione 2026: Aegis vs Google vs Authy

Aegis si è affermato come riferimento open source su Android, soprattutto dopo che Twilio ha rimosso il client desktop di Authy. Questo confronto si basa su funzioni documentate, modelli di backup e cifratura e sul consenso delle recensioni pubbliche – non su screenshot di marketing.

01 — Verdetto in 30 secondi: chi vince in quale contesto

Podio 2026:

1. Aegis — Campione della privacy su Android. Cassaforte locale AES-256, backup cifrati manuali, open source GPL3, zero cloud, zero tracciamento. Unico svantaggio: solo Android.

2. Bitwarden Authenticator — Scelta migliore se usi già Bitwarden come password manager. Open source, sync E2EE, iOS + Android. Due app separate, stesso ecosistema.

3. Google Authenticator — Migliore scelta mainstream. iOS + Android, sync E2EE con l'account Google (dal 2023), 600 milioni di utenti, interfaccia minimalista. Closed source.

4. Microsoft Authenticator — Essenziale nell'ecosistema Microsoft/Azure. Notifiche push, senza password, backup cloud Microsoft.

5. Authy — Ancora funzionante nel 2026 (mobile) ma non più consigliato per i nuovi utenti. Desktop rimosso ad agosto 2024.

Raccomandazione rapida: Android, privacy al primo posto → Aegis. iOS o mainstream → Google Authenticator o Bitwarden Auth. Azienda Microsoft → Microsoft Authenticator.

02 — Cos'è un'app 2FA TOTP?

Un'app di autenticazione è una forma di autenticazione a due fattori (2FA) – il secondo fattore «qualcosa che hai». TOTP = Time-based One-Time Password, definito nell'RFC 6238 (2011). Il protocollo genera un codice di 6 cifre valido per esattamente 30 secondi, calcolato da due elementi:

• Una chiave segreta (seed a 160 bit, condiviso durante l'attivazione della 2FA, codificato nel codice QR)
• Il tempo Unix corrente arrotondato a 30 secondi

Il calcolo è un HMAC-SHA1 locale – nessuna connessione a internet richiesta per generare il codice. Il server e la tua app eseguono lo stesso calcolo; se i codici coincidono, sei autenticato.

Confronto di sicurezza dei metodi 2FA:

Il TOTP è 10 volte più resistente al SIM-swapping rispetto all'SMS. Scopri di più su passkey vs password per salire ancora nella gerarchia della sicurezza.

03 — Confronto tecnico: 5 app × 10 criteri

Tutte le app sono completamente gratuite – nessun livello premium per l'autenticatore in sé.

04 — Profilo di ogni app

Aegis Authenticator

Lanciata: 2018. Maintainer: beemdevelopment (comunità open source). Piattaforma: solo Android (F-Droid + Google Play).

Punti di forza: La cassaforte più robusta di questo confronto. Cifrata AES-256 a riposo. Import/export JSON con cifratura. Backup automatico su cartella locale o cloud Android (Drive, Syncthing, ecc.) ma completamente controllato dall'utente. Interfaccia pulita, modalità scura, ricerca veloce, gruppi personalizzati.

Punti deboli: Zero iOS. Zero sync automatica nativa (configurazione manuale richiesta). Per gli utenti non tecnici, la configurazione del backup può intimidire.

Utente target: Massimalisti della privacy, utenti Android avanzati, giornalisti, ricercatori di sicurezza, chiunque voglia zero fiducia verso il cloud.

Bitwarden Authenticator

Lanciata: 2023 (app separata dal password manager). Piattaforma: iOS + Android.

Punti di forza: Sync E2EE tramite account Bitwarden. Open source come Bitwarden (GPL3). Se usi già Bitwarden come password manager, l'integrazione è naturale. Interfaccia pulita, importazione da Google Authenticator e Authy.

Punti deboli: Richiede un account Bitwarden (gratuito, ma con dipendenza dal cloud). App ancora giovane (meno funzioni avanzate di Aegis). Non si fonderà mai con l'app principale di Bitwarden (scelta deliberata dell'azienda per la separazione dei rischi).

Utente target: Utenti Bitwarden esistenti. Persone che vogliono open source + sync multi-dispositivo senza attriti.

Google Authenticator

Lanciata: 2010. Utenti: oltre 600 milioni. Piattaforma: iOS + Android.

Evoluzione chiave del 2023: Google ha aggiunto la sincronizzazione automatica dei codici TOTP con l'account Google (E2EE opzionale da aprile 2024). Prima del 2023, nessun backup nativo – perdere il telefono significava perdere i codici. Questo cambiamento ha risolto il principale punto debole dell'app.

Punti di forza: L'app più semplice da usare. Integrazione nativa nell'ecosistema Google. Oltre 600 milioni di utenti = compatibilità quasi universale. Sync E2EE disponibile.

Punti deboli: Closed source. Dipendenza dall'account Google. Esportazione dei codici limitata (formato protobuf di Google, non TOTP standard). Se perdi il tuo account Google, perdi i tuoi codici TOTP.

Utente target: Utenti mainstream. Utenti dell'ecosistema Google. Persone che non vogliono configurare nulla.

Authy (Twilio)

Lanciata: 2012. Acquisita da Twilio nel 2015. Piattaforma: iOS + Android (desktop rimosso ad agosto 2024).

Cosa è cambiato: Twilio ha ufficialmente ritirato le app desktop di Authy (Windows, macOS, Linux) ad agosto 2024, motivando la scelta con la volontà di concentrarsi sul mobile. Gli utenti desktop hanno perso l'accesso – un duro colpo per i power user. L'app mobile resta funzionante.

Punti di forza: Multi-dispositivo mobile maturo. Backup cloud cifrato AES-256 con password di backup separata. Interfaccia pulita.

Punti deboli: Closed source. Desktop rimosso. Twilio è un'azienda di telecomunicazioni B2B, non un'azienda orientata alla sicurezza. Storia: fuga di numeri di telefono nel 2022 (33 milioni di utenti). Non consigliato per i nuovi utenti.

Utente target: Utenti esistenti che non vogliono migrare. I nuovi utenti dovrebbero preferire Aegis o Bitwarden Auth.

Microsoft Authenticator

Lanciata: 2016. Piattaforma: iOS + Android.

Punti di forza: Integrazione nativa Azure AD / Microsoft 365. Notifiche push per l'approvazione con 1 tocco. Modalità senza password (accesso senza password tramite notifica). Backup cloud legato all'account Microsoft.

Punti deboli: Closed source. Dipendenza dall'account Microsoft. Interfaccia più pesante delle alternative. Esportazione dei codici TOTP impossibile (dati bloccati nell'ecosistema Microsoft).

Utente target: Aziende con Azure AD. Utenti Microsoft 365. Contesto MFA aziendale – vedi la nostra guida ai password manager aziendali.

05 — Confronto di sicurezza: chi cifra cosa, come e dove

Rischio #1: compromissione del cloud

Se il server cloud viene compromesso, cosa succede?

• Aegis: zero rischio cloud (nessun cloud). Cassaforte memorizzata localmente, cifrata AES-256 anche se copi manualmente il file su Drive.
• Bitwarden Auth: il cloud di Bitwarden memorizza dati cifrati lato client. Bitwarden ha completato un audit Cure53 nel 2023. Zero testo in chiaro lato server.
• Google Auth: Google memorizza i tuoi seed TOTP nel tuo account Google con E2EE opzionale. Se qualcuno accede al tuo account Google → rischio.
• Authy: server Twilio + password di backup AES-256 separata. La chiave di decifratura non lascia mai il tuo dispositivo se la password di backup è forte.
• Microsoft Auth: archiviazione cloud Microsoft. Se il tuo account Microsoft viene compromesso → rischio.

Rischio #2: account centrale rubato

Google Authenticator e Microsoft Authenticator creano un singolo punto di rottura: se il tuo account Google/Microsoft viene compromesso, l'attaccante può accedere ai tuoi codici TOTP E alla tua email E agli altri tuoi servizi contemporaneamente.

Regola d'oro: usa un'app 2FA separata dal tuo provider email principale. Se usi Gmail, non usare Google Authenticator per gli account critici.

Rischio #3: esportazione e portabilità

Per la migrazione: Aegis (JSON cifrato, banale) > Bitwarden Auth (esportazione JSON) > Authy (difficile, nessuna esportazione diretta) > Microsoft Auth (impossibile nativamente) > Google Auth (formato protobuf di Google, richiede l'app per la scansione).

La portabilità conta per la sicurezza a lungo termine: restare bloccati in un ecosistema = rischio di perdere l'accesso al cambio di piattaforma.

06 — Migrazione: da Authy (o Google) ad Aegis, passo dopo passo

Authy Desktop è scomparso nel 2024 – se eri un utente desktop, ecco come migrare ad Aegis in modo pulito.

Prerequisiti: Aegis installato su Android + Authy su mobile.

Metodo 1: ri-scansionare i codici QR (pulito ma lento)

1. Per ogni servizio, vai su Impostazioni → Sicurezza → 2FA
2. Disabilita la 2FA esistente (inserisci il codice Authy per confermare)
3. Riattiva la 2FA – appare un codice QR
4. Scansiona con Aegis
5. Conferma che il codice Aegis funziona

Metodo 2: tramite Authy Desktop (se hai ancora accesso) L'app Authy Desktop, prima della sua rimozione, permetteva l'esportazione dei seed tramite uno script della comunità. Questo metodo non è più disponibile per i nuovi utenti (desktop rimosso).

Migrazione Google Authenticator → Aegis (metodo ufficiale):

1. Google Authenticator → Menu → Trasferisci account → Esporta account → Seleziona tutto
2. Codice QR di trasferimento generato (formato protobuf di Google)
3. Aegis → + → Scansiona → Importa da Google Authenticator
4. Scansiona il codice QR con Aegis
5. Non eliminare Google Authenticator finché non hai testato Aegis su 2-3 siti critici

Dopo la migrazione: attiva immediatamente il backup cifrato di Aegis (Impostazioni → Backup → attiva il backup automatico + imposta una password di backup forte).

07 — Raccomandazione per profilo utente

Massima sicurezza desiderata (Android) → Aegis. Cassaforte locale cifrata, zero cloud, open source, backup cifrati manuali. Configurazione iniziale leggermente più complessa, ma zero compromessi sulla privacy.

Usi già Bitwarden → Bitwarden Authenticator. L'integrazione è naturale. Open source, sync E2EE. Il nostro confronto Proton Pass vs Bitwarden può aiutarti a validare la scelta del tuo manager principale.

Utente mainstream, iOS o Android → Google Authenticator. Il più facile da configurare, sync E2EE disponibile, oltre 600 milioni di utenti. Closed source ma accettabile per l'uso standard.

Azienda con Azure AD / Microsoft 365 → Microsoft Authenticator. Notifiche push, senza password, integrazione nativa. Per il contesto MFA aziendale, vedi la nostra guida ai password manager aziendali.

Usi già Authy e funziona → resta per ora, ma pianifica una migrazione ad Aegis o Bitwarden Auth nel medio termine. L'ecosistema Authy è stagnante dalla rimozione del desktop.

Promemoria chiave: la 2FA TOTP è uno strato di sicurezza sopra il tuo password manager. Sono complementari – una password forte e unica + TOTP = protezione ottimale.

Per le definizioni di TOTP, HOTP, 2FA, passkey e chiave hardware, vedi il glossario di autenticazione di PwdFortress.

PwdFortress recensisce le app di sicurezza in modo indipendente, sulla base della documentazione pubblica e dell'analisi delle funzioni. Nessuna app 2FA in questo confronto paga commissioni. I link interni a Bitwarden si riferiscono alla nostra partnership con il password manager Bitwarden (un prodotto distinto).