Aegis vs Google Authenticator (2026): cofre encriptado local ou sincronização com a Conta Google?

Resposta curta: escolha o Aegis se usa Android e quer os seus códigos num cofre encriptado que nunca sai do seu controlo, com cópias de segurança geridas por si. Escolha o Google Authenticator se quer os mesmos códigos em Android e iOS, ou se prefere que seja a Google a restaurá-los quando mudar de telemóvel. Ambos geram os mesmos códigos padrão, pelo que qualquer serviço que aceite um aceita o outro. A diferença está em onde vivem os segredos e em quem os pode trazer de volta.

Tudo o que se segue sobre funcionalidades vem do que cada projeto documenta por si próprio: o README do Aegis no GitHub e a página de ajuda da Google sobre o Authenticator, ambos lidos a 7 de outubro de 2026.

Num relance

A verdadeira diferença: quem detém os segredos

Um código TOTP é calculado a partir de um segredo partilhado uma única vez entre o serviço e a sua aplicação, normalmente ao ler um código QR. Quem tiver uma cópia desse segredo pode gerar os seus códigos. Por isso, a pergunta por trás de "Aegis ou Google Authenticator" é simples: onde ficam guardadas as cópias desses segredos, e o que as protege?

O Aegis guarda-os num único sítio. O cofre fica no telemóvel, encriptado com AES-256-GCM, e é desbloqueado com uma palavra-passe derivada através de scrypt ou com biometria suportada pelo Android Keystore. O README refere também a prevenção de capturas de ecrã e uma opção de tocar para revelar. Nada neste modelo envolve uma conta online: se quiser uma segunda cópia, é você que a cria, como ficheiro de cópia de segurança.

O Google Authenticator pode guardá-los em dois. A página de ajuda da Google diz que pode sincronizar os seus códigos de validação entre os seus dispositivos ao iniciar sessão na sua Conta Google, e que a Google encripta os códigos do Authenticator em trânsito e em repouso. A página não descreve essa sincronização como encriptada ponto a ponto. Diz também que pode optar por usar a aplicação sem estas proteções, ou seja, sem iniciar sessão, caso em que os códigos ficam apenas no dispositivo.

Nenhum dos dois desenhos está errado. Respondem a preocupações diferentes.

Onde o Aegis está à frente

• Pode verificá-lo. O código é público sob a GPL v3.0, e a aplicação está também no F-Droid, que compila a partir do código-fonte.
• O cofre é encriptado com uma chave que só você detém. Uma palavra-passe escolhida por si, não uma conta de que alguém se poderia apoderar.
• As cópias de segurança são suas. As cópias automáticas do cofre vão para uma localização escolhida por si, e uma exportação pode ser encriptada. É você que decide se esse ficheiro alguma vez toca num serviço na nuvem.
• Sair é fácil. Exportação em texto simples ou encriptada, e importação a partir de uma longa lista de outros autenticadores, pelo que não fica preso em nenhum dos sentidos.

Onde o Google Authenticator está à frente

• Funciona no iPhone. O Aegis não. Numa casa ou numa equipa com telemóveis mistos, só isso pode decidir a questão.
• A recuperação não exige planeamento. Com a sincronização ativada, um telemóvel novo recebe os códigos de volta quando inicia sessão. Nenhum ficheiro de cópia de segurança para acompanhar.
• É a aplicação que a maioria dos guias de configuração pressupõe. As instruções de 2FA de qualquer site funcionarão tal como estão escritas.
• O Privacy Screen acrescenta um bloqueio. Quando ativado, a aplicação pede o PIN do seu dispositivo, o padrão ou um pedido biométrico antes de mostrar os códigos.

O custo dessa comodidade é a concentração: com a sincronização ativada, a segurança dos seus segundos fatores depende da segurança da sua Conta Google. Se seguir esse caminho, proteja essa conta com algo mais forte do que um código da mesma aplicação, idealmente uma passkey ou uma chave de hardware. A nossa comparação YubiKey vs passkey cobre essas opções.

Como escolher, com honestidade

• Apenas Android, e vai manter um ficheiro de cópia de segurança: Aegis.
• iPhone, ou ambas as plataformas: Google Authenticator, ou outra aplicação multiplataforma do nosso guia das melhores aplicações de autenticação.
• Sabe que nunca vai fazer uma cópia de segurança: Google Authenticator com a sincronização ativada. Um cofre encriptado sem cópia de segurança está a um telemóvel caído de distância de um longo serão de recuperação de contas.
• Não quer os seus códigos ligados a uma conta na nuvem: Aegis, ou Google Authenticator sem iniciar sessão, mais os códigos de recuperação guardados num local seguro.

Mudar do Google Authenticator para o Aegis

1. Instale o Aegis a partir do Google Play ou do F-Droid e defina uma palavra-passe para o cofre.
2. No Google Authenticator, use a opção de transferência para exportar as suas contas: ela mostra um código QR.
3. No Aegis, abra o ecrã de importação, escolha Google Authenticator e leia esse código QR.
4. Teste um início de sessão com um código do Aegis em cada conta importante.
5. Configure as cópias de segurança automáticas no Aegis e depois decida se mantém ou remove as entradas na aplicação antiga.

Não salte o passo 4. Um código que parece certo mas falha no início de sessão é algo que quer descobrir enquanto a aplicação antiga ainda funciona.

Em resumo

Ambas as aplicações produzem códigos idênticos a partir de padrões idênticos. O Aegis dá-lhe um cofre encriptado e open source em Android e deixa as cópias de segurança consigo. O Google Authenticator troca esse controlo por alcance em Android e iOS e pela recuperação através da sua Conta Google. Escolha consoante a forma como vai lidar com o dia em que o seu telemóvel desaparecer: com um ficheiro de cópia de segurança que guardou, ou com uma conta que protegeu.