Aegis si è affermato come riferimento open source su Android, soprattutto dopo che Twilio ha rimosso il client desktop di Authy. Questo confronto si basa su funzioni documentate, modelli di backup e cifratura e sul consenso delle recensioni pubbliche - non su screenshot di marketing.
Nuovo al concetto? Inizia da cosa fa un'app di autenticazione a due fattori.
È proprio per questo che i codici SMS sono rischiosi - vedi protezione dal SIM-swap.
01 - Verdetto in 30 secondi: chi vince in quale contesto
Podio 2026:
1. Aegis - Campione della privacy su Android. Cassaforte locale AES-256, backup cifrati manuali, open source GPL3, zero cloud, zero tracciamento. Unico svantaggio: solo Android.
2. Bitwarden Authenticator - Scelta migliore se usi già Bitwarden come password manager. Open source, sync E2EE, iOS + Android. Due app separate, stesso ecosistema.
3. Google Authenticator - Migliore scelta mainstream. iOS + Android, sync E2EE con l'account Google (dal 2023), 600 milioni di utenti, interfaccia minimalista. Closed source.
4. Microsoft Authenticator - Essenziale nell'ecosistema Microsoft/Azure. Notifiche push, senza password, backup cloud Microsoft.
5. Authy - Ancora funzionante nel 2026 (mobile) ma non più consigliato per i nuovi utenti. Desktop rimosso ad agosto 2024.
Raccomandazione rapida: Android, privacy al primo posto → Aegis. iOS o mainstream → Google Authenticator o Bitwarden Auth. Azienda Microsoft → Microsoft Authenticator.
02 - Cos'è un'app 2FA TOTP?
Un'app di autenticazione è una forma di autenticazione a due fattori (2FA) - il secondo fattore «qualcosa che hai». TOTP = Time-based One-Time Password, definito nell'RFC 6238 (2011). Il protocollo genera un codice di 6 cifre valido per esattamente 30 secondi, calcolato da due elementi:
- Una chiave segreta (seed a 160 bit, condiviso durante l'attivazione della 2FA, codificato nel codice QR)
- Il tempo Unix corrente arrotondato a 30 secondi
Il calcolo è un HMAC-SHA1 locale - nessuna connessione a internet richiesta per generare il codice. Il server e la tua app eseguono lo stesso calcolo; se i codici coincidono, sei autenticato.
Confronto di sicurezza dei metodi 2FA:
| Metodo | Phishabile? | Resistente al SIM-swap? | Richiede rete? |
|---|---|---|---|
| FIDO2/Passkey | No ✅ | Sì ✅ | No ✅ |
| TOTP (app 2FA) | Sì (in tempo reale) | Sì ✅ | No ✅ |
| Notifica push | Sì (affaticamento) | Sì ✅ | Sì |
| OTP via SMS | Sì | No ❌ | Sì |
Il TOTP è 10 volte più resistente al SIM-swapping rispetto all'SMS. Scopri di più su passkey vs password per salire ancora nella gerarchia della sicurezza.
03 - Confronto tecnico: 5 app × 10 criteri
| Criterio | Aegis | Bitwarden Auth | Google Auth | Authy | Microsoft Auth |
|---|---|---|---|---|---|
| Open source | ✅ GPL3 | ✅ GPL3 | ❌ | ❌ | ❌ |
| Piattaforme | Solo Android | iOS + Android | iOS + Android | iOS + Android | iOS + Android |
| Sync cloud | ❌ (solo locale) | ✅ E2EE Bitwarden | ✅ E2EE Google | ✅ AES-256 | ✅ Cloud Microsoft |
| Backup cifrato | ✅ Manuale AES-256 | ✅ Auto E2EE | ✅ E2EE Google | ✅ Cloud AES-256 | ✅ Microsoft |
| Multi-dispositivo | ❌ | ✅ | ✅ | ✅ | ✅ |
| Sblocco biometrico | ✅ | ✅ | ✅ | ✅ | ✅ |
| Ricerca nella cassaforte | ✅ | ✅ | ✅ | ✅ | ✅ |
| Esportazione dati | ✅ JSON/CSV | ✅ | ⚠️ Limitata | ⚠️ Difficile | ❌ |
| Desktop/Web | ❌ | ❌ | ❌ | ❌ (rimosso 2024) | ❌ |
| Prezzo | Gratis | Gratis | Gratis | Gratis | Gratis |
Tutte le app sono completamente gratuite - nessun livello premium per l'autenticatore in sé.
04 - Profilo di ogni app
Aegis Authenticator
Lanciata: 2018. Maintainer: beemdevelopment (comunità open source). Piattaforma: solo Android (F-Droid + Google Play).
Punti di forza: La cassaforte più robusta di questo confronto. Cifrata AES-256 a riposo. Import/export JSON con cifratura. Backup automatico su cartella locale o cloud Android (Drive, Syncthing, ecc.) ma completamente controllato dall'utente. Interfaccia pulita, modalità scura, ricerca veloce, gruppi personalizzati.
Punti deboli: Zero iOS. Zero sync automatica nativa (configurazione manuale richiesta). Per gli utenti non tecnici, la configurazione del backup può intimidire.
Utente target: Massimalisti della privacy, utenti Android avanzati, giornalisti, ricercatori di sicurezza, chiunque voglia zero fiducia verso il cloud.
Bitwarden Authenticator
Lanciata: 2023 (app separata dal password manager). Piattaforma: iOS + Android.
Punti di forza: Sync E2EE tramite account Bitwarden. Open source come Bitwarden (GPL3). Se usi già Bitwarden come password manager, l'integrazione è naturale. Interfaccia pulita, importazione da Google Authenticator e Authy.
Punti deboli: Richiede un account Bitwarden (gratuito, ma con dipendenza dal cloud). App ancora giovane (meno funzioni avanzate di Aegis). Non si fonderà mai con l'app principale di Bitwarden (scelta deliberata dell'azienda per la separazione dei rischi).
Utente target: Utenti Bitwarden esistenti. Persone che vogliono open source + sync multi-dispositivo senza attriti.
Google Authenticator
Lanciata: 2010. Utenti: oltre 600 milioni. Piattaforma: iOS + Android.
Evoluzione chiave del 2023: Google ha aggiunto la sincronizzazione automatica dei codici TOTP con l'account Google (E2EE opzionale da aprile 2024). Prima del 2023, nessun backup nativo - perdere il telefono significava perdere i codici. Questo cambiamento ha risolto il principale punto debole dell'app.
Punti di forza: L'app più semplice da usare. Integrazione nativa nell'ecosistema Google. Oltre 600 milioni di utenti = compatibilità quasi universale. Sync E2EE disponibile.
Punti deboli: Closed source. Dipendenza dall'account Google. Esportazione dei codici limitata (formato protobuf di Google, non TOTP standard). Se perdi il tuo account Google, perdi i tuoi codici TOTP.
Utente target: Utenti mainstream. Utenti dell'ecosistema Google. Persone che non vogliono configurare nulla.
Authy (Twilio)
Lanciata: 2012. Acquisita da Twilio nel 2015. Piattaforma: iOS + Android (desktop rimosso ad agosto 2024).
Cosa è cambiato: Twilio ha ufficialmente ritirato le app desktop di Authy (Windows, macOS, Linux) ad agosto 2024, motivando la scelta con la volontà di concentrarsi sul mobile. Gli utenti desktop hanno perso l'accesso - un duro colpo per i power user. L'app mobile resta funzionante.
Punti di forza: Multi-dispositivo mobile maturo. Backup cloud cifrato AES-256 con password di backup separata. Interfaccia pulita.
Punti deboli: Closed source. Desktop rimosso. Twilio è un'azienda di telecomunicazioni B2B, non un'azienda orientata alla sicurezza. Storia: fuga di numeri di telefono nel 2022 (33 milioni di utenti). Non consigliato per i nuovi utenti.
Utente target: Utenti esistenti che non vogliono migrare. I nuovi utenti dovrebbero preferire Aegis o Bitwarden Auth.
Microsoft Authenticator
Lanciata: 2016. Piattaforma: iOS + Android.
Punti di forza: Integrazione nativa Azure AD / Microsoft 365. Notifiche push per l'approvazione con 1 tocco. Modalità senza password (accesso senza password tramite notifica). Backup cloud legato all'account Microsoft.
Punti deboli: Closed source. Dipendenza dall'account Microsoft. Interfaccia più pesante delle alternative. Esportazione dei codici TOTP impossibile (dati bloccati nell'ecosistema Microsoft).
Utente target: Aziende con Azure AD. Utenti Microsoft 365. Contesto MFA aziendale - vedi la nostra guida ai password manager aziendali.
05 - Confronto di sicurezza: chi cifra cosa, come e dove
Rischio #1: compromissione del cloud
Se il server cloud viene compromesso, cosa succede?
- Aegis: zero rischio cloud (nessun cloud). Cassaforte memorizzata localmente, cifrata AES-256 anche se copi manualmente il file su Drive.
- Bitwarden Auth: il cloud di Bitwarden memorizza dati cifrati lato client. Bitwarden ha completato un audit Cure53 nel 2023. Zero testo in chiaro lato server.
- Google Auth: Google memorizza i tuoi seed TOTP nel tuo account Google con E2EE opzionale. Se qualcuno accede al tuo account Google → rischio.
- Authy: server Twilio + password di backup AES-256 separata. La chiave di decifratura non lascia mai il tuo dispositivo se la password di backup è forte.
- Microsoft Auth: archiviazione cloud Microsoft. Se il tuo account Microsoft viene compromesso → rischio.
Rischio #2: account centrale rubato
Google Authenticator e Microsoft Authenticator creano un singolo punto di rottura: se il tuo account Google/Microsoft viene compromesso, l'attaccante può accedere ai tuoi codici TOTP E alla tua email E agli altri tuoi servizi contemporaneamente.
Regola d'oro: usa un'app 2FA separata dal tuo provider email principale. Se usi Gmail, non usare Google Authenticator per gli account critici.
Rischio #3: esportazione e portabilità
Per la migrazione: Aegis (JSON cifrato, banale) > Bitwarden Auth (esportazione JSON) > Authy (difficile, nessuna esportazione diretta) > Microsoft Auth (impossibile nativamente) > Google Auth (formato protobuf di Google, richiede l'app per la scansione).
La portabilità conta per la sicurezza a lungo termine: restare bloccati in un ecosistema = rischio di perdere l'accesso al cambio di piattaforma.
Rischio n. 4: l'app non è tutta la difesa. Qualunque app tu scelga, un codice TOTP può essere inoltrato in tempo reale da una pagina di phishing, o aggirato del tutto con un cookie di sessione rubato: nessuno dei due problemi si risolve scegliendo un'app migliore. Come gli attaccanti aggirano la MFA, e cosa li ferma spiega questi attacchi e le impostazioni che li indeboliscono davvero.
06 - Migrazione: da Authy (o Google) ad Aegis, passo dopo passo
Authy Desktop è scomparso nel 2024 - se eri un utente desktop, ecco come migrare ad Aegis in modo pulito.
Prerequisiti: Aegis installato su Android + Authy su mobile.
Metodo 1: ri-scansionare i codici QR (pulito ma lento)
- Per ogni servizio, vai su Impostazioni → Sicurezza → 2FA
- Disabilita la 2FA esistente (inserisci il codice Authy per confermare)
- Riattiva la 2FA - appare un codice QR
- Scansiona con Aegis
- Conferma che il codice Aegis funziona
Metodo 2: tramite Authy Desktop (se hai ancora accesso) L'app Authy Desktop, prima della sua rimozione, permetteva l'esportazione dei seed tramite uno script della comunità. Questo metodo non è più disponibile per i nuovi utenti (desktop rimosso).
Migrazione Google Authenticator → Aegis (metodo ufficiale):
- Google Authenticator → Menu → Trasferisci account → Esporta account → Seleziona tutto
- Codice QR di trasferimento generato (formato protobuf di Google)
- Aegis → + → Scansiona → Importa da Google Authenticator
- Scansiona il codice QR con Aegis
- Non eliminare Google Authenticator finché non hai testato Aegis su 2-3 siti critici
Dopo la migrazione: attiva immediatamente il backup cifrato di Aegis (Impostazioni → Backup → attiva il backup automatico + imposta una password di backup forte).
07 - Raccomandazione per profilo utente
Massima sicurezza desiderata (Android) → Aegis. Cassaforte locale cifrata, zero cloud, open source, backup cifrati manuali. Configurazione iniziale leggermente più complessa, ma zero compromessi sulla privacy.
Usi già Bitwarden → Bitwarden Authenticator. L'integrazione è naturale. Open source, sync E2EE. Il nostro confronto Proton Pass vs Bitwarden può aiutarti a validare la scelta del tuo manager principale.
Utente mainstream, iOS o Android → Google Authenticator. Il più facile da configurare, sync E2EE disponibile, oltre 600 milioni di utenti. Closed source ma accettabile per l'uso standard.
Azienda con Azure AD / Microsoft 365 → Microsoft Authenticator. Notifiche push, senza password, integrazione nativa. Per il contesto MFA aziendale, vedi la nostra guida ai password manager aziendali.
Usi già Authy e funziona → resta per ora, ma pianifica una migrazione ad Aegis o Bitwarden Auth nel medio termine. L'ecosistema Authy è stagnante dalla rimozione del desktop.
08 - Altre due scelte open source: 2FAS ed Ente Auth
Se vuoi l'open source ma il modello di Aegis (solo Android, offline-first) non fa per te, due opzioni multipiattaforma meritano di essere conosciute.
2FAS è un'app TOTP open source per iOS e Android. Tiene i secret sul dispositivo, offre un backup cifrato opzionale sul tuo iCloud/Google Drive e include un'estensione per browser che consente di approvare i codici dal desktop senza ri-sincronizzare i seed su un server. È un'ottima scelta se vuoi l'open source specificamente su iOS, dove Aegis non è disponibile.
Ente Auth è l'autenticatore open source del team dietro l'app foto Ente. Aggiunge la sincronizzazione cloud cifrata end-to-end tra dispositivi (iOS, Android, desktop e web) sopra il TOTP standard, con import da Google Authenticator, Aegis e 2FAS. Si addice a chi vuole l'apertura in stile Aegis più la sincronizzazione multi-dispositivo automatica senza legare i propri seed a un account Google o Microsoft.
Entrambe sono gratuite e open source. Per l'uso offline solo su Android Aegis resta in testa; per l'open source multipiattaforma, 2FAS (locale + backup opzionale) ed Ente Auth (sync E2EE) sono le due da confrontare.
Promemoria chiave: la 2FA TOTP è uno strato di sicurezza sopra il tuo password manager. Sono complementari - una password forte e unica + TOTP = protezione ottimale.
Per le definizioni di TOTP, HOTP, 2FA, passkey e chiave hardware, vedi il glossario di autenticazione di PwdFortress.
PwdFortress recensisce le app di sicurezza in modo indipendente, sulla base della documentazione pubblica e dell'analisi delle funzioni. Nessuna app 2FA in questo confronto paga commissioni. I link interni a Bitwarden si riferiscono alla nostra partnership con il password manager Bitwarden (un prodotto distinto).
Guide correlate
- Chiave di sicurezza vs app di autenticazione: cosa dice davvero il NIST sul phishing
- Che cosa sono i codici di recupero? La lista che hai saltato e dove dovrebbe stare
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Un gestore con 2FA e passkey integrate → NordPassSalva TOTP e passkey · XChaCha20 · piano gratuito→Domande frequenti
Qual è la migliore app di autenticazione 2FA nel 2026?
Per la **massima privacy**: Aegis (Android, open source, cassaforte locale AES-256, zero cloud). Per gli **utenti mainstream iOS/Android**: Google Authenticator (sync E2EE con l'account Google, oltre 600 milioni di utenti). Per gli **utenti Bitwarden esistenti**: Bitwarden Authenticator (sync nativa, stesso ecosistema). Per l'**ecosistema Microsoft**: Microsoft Authenticator (notifiche push, senza password). Authy resta funzionante su mobile, ma Twilio ha rimosso l'app desktop nel 2024.
Cos'è il TOTP e in cosa differisce dalla 2FA via SMS?
Il **TOTP** (Time-based One-Time Password, RFC 6238) genera un codice di 6 cifre valido per 30 secondi, calcolato localmente da una chiave segreta condivisa e dal tempo Unix. Nessuna connessione a internet richiesta per generare il codice. La **2FA via SMS** invia il codice tramite il tuo operatore telefonico - vulnerabile al SIM-swapping (l'attaccante trasferisce il tuo numero al suo operatore). Il TOTP è statisticamente 10 volte più resistente dell'SMS al phishing mirato.
Aegis vs Google Authenticator: quale scegliere?
**Aegis** se sei su Android e la privacy conta: cassaforte locale cifrata AES-256, backup cifrati manuali, zero cloud, open source GPL3. **Google Authenticator** se vuoi semplicità e sei nell'ecosistema Google: sync E2EE automatica con il tuo account Google dal 2023, iOS + Android, zero configurazione di backup. Per gli utenti iOS, Aegis non è disponibile - Google Authenticator o Bitwarden Authenticator sono le tue opzioni migliori.
Authy è ancora consigliato nel 2026?
Authy resta funzionante nel 2026 su iOS e Android con sync cloud multi-dispositivo e cifratura AES-256. **Il cambiamento chiave**: Twilio ha rimosso l'app desktop di Authy ad agosto 2024. L'ecosistema mobile è intatto. Tuttavia, poiché Authy è closed source e di proprietà di Twilio (un'azienda di telecomunicazioni B2B, non orientata alla sicurezza), preferiamo Aegis (Android) o Bitwarden Authenticator per i nuovi utenti.
Come migro da Google Authenticator ad Aegis?
1. In Google Authenticator, tocca i 3 puntini → **Trasferisci account** → **Esporta account**. 2. Appare un codice QR di trasferimento (formato protobuf di Google). 3. In Aegis → **+** → **Importa** → **Google Authenticator**. 4. Scansiona il codice QR. 5. I tuoi codici TOTP vengono importati. **Attenzione**: NON eliminare Google Authenticator finché non hai verificato che i codici Aegis funzionano su 2-3 siti.
Le app 2FA funzionano senza internet?
**Sì**. Il TOTP è calcolato localmente (chiave segreta + tempo Unix). Nessuna connessione richiesta per generare i codici. La sincronizzazione cloud (backup, multi-dispositivo) richiede internet, ma **la generazione dei codici funziona offline**. È un grande vantaggio rispetto alla 2FA via SMS, che dipende dalla rete telefonica.
Cosa succede se perdo il telefono con la mia app 2FA?
**Senza backup**: perdi l'accesso a ogni account protetto da 2FA - dovrai contattare l'assistenza per ogni servizio (lungo e doloroso). **Con backup cifrato** (Aegis, Bitwarden Auth, Google Auth E2EE): ripristini i tuoi codici su un nuovo telefono in pochi minuti. **Regola d'oro**: configura il backup prima di attivare la 2FA sugli account critici.
Microsoft Authenticator può sostituire Google Authenticator?
**Sì**, Microsoft Authenticator supporta il TOTP standard e può importare gli account di Google Authenticator tramite singoli codici QR. Il suo punto di forza è l'integrazione Microsoft (Azure AD, Office 365, accesso senza password tramite notifica push). Ma non è open source e il backup cloud è legato al tuo account Microsoft. Per le aziende con Azure AD: scelta naturale. Per i privati senza un ecosistema MS: Google Authenticator o Bitwarden Auth sono più semplici.
Aegis vs Bitwarden Authenticator: quale scegliere?
**Aegis** è solo per Android e offline per impostazione predefinita (cassaforte locale AES-256, backup cifrati manuali, open source GPL3) - ideale per zero cloud e massimo controllo. **Bitwarden Authenticator** è multipiattaforma (iOS + Android) e memorizza i seed TOTP cifrati end-to-end, sincronizzati tramite il tuo account Bitwarden - ideale se usi già Bitwarden e vuoi la sync multi-dispositivo automatica. Entrambi sono open source: scegli Aegis per la privacy offline solo su Android, Bitwarden Authenticator per la comodità multi-dispositivo all'interno di una configurazione Bitwarden esistente.
Authy vs Bitwarden Authenticator: quale è meglio nel 2026?
**Bitwarden Authenticator** è open source, multipiattaforma, con sync cifrata end-to-end legata a un account Bitwarden, e si integra con il password manager Bitwarden. **Authy** è closed source, di proprietà di Twilio, con sync cloud multi-dispositivo (AES-256) ma senza app desktop da agosto 2024. Per i nuovi utenti consigliamo Bitwarden Authenticator: open source e un ecosistema attivo. Authy funziona ancora se ci fai già affidamento, ma non è più la nostra scelta predefinita.
Esiste un autenticatore open source su iOS, dato che Aegis è solo per Android?
Sì. **2FAS** è open source su iOS e Android, tiene i secret sul dispositivo e offre un backup cifrato opzionale sul tuo iCloud/Google Drive. **Ente Auth** è anch'esso open source e aggiunge una sincronizzazione multi-dispositivo cifrata end-to-end (iOS, Android, desktop e web) con import da Google Authenticator e Aegis. **Bitwarden Authenticator** è un'altra opzione open source su iOS con sync E2EE. Su iOS, quindi, non sei limitato alle app closed source - 2FAS, Ente Auth e Bitwarden Authenticator sono tutte open source.
