Aplicação de autenticação de dois fatores: guia completo 2026 (TOTP vs SMS, melhores apps)

A autenticação de dois fatores por aplicação existe para colmatar uma lacuna muito concreta: a 2FA baseada em SMS continua vulnerável ao SIM swapping, um ataque em que um burlão faz transferir o seu número de telemóvel para o seu próprio SIM para intercetar os seus códigos. Assim que o número é sequestrado, esvaziar uma conta pode demorar apenas minutos, ao passo que a recuperação do lado da vítima pode demorar semanas. Uma app autenticadora elimina essa dependência da rede móvel.

Este guia aborda o que uma app 2FA realmente faz ao nível do protocolo, porque bate o SMS e que apps merecem um lugar no seu ecrã principal em 2026.

01 — Como funciona uma aplicação de autenticação de dois fatores?

Uma app 2FA gera um código de 6 dígitos válido por 30 segundos, calculado localmente no seu dispositivo. Funciona em 3 passos: (1) durante a configuração, o site codifica uma chave secreta de 160 bits num código QR que você digitaliza; (2) a cada 30 segundos a app calcula HMAC-SHA1(secret_key, timestamp/30) — o mesmo cálculo que o servidor faz; (3) introduz o código no início de sessão e o servidor verifica-o. Sem internet necessária: tudo acontece offline. É o padrão TOTP (RFC 6238), idêntico em todas as apps autenticadoras.

02 — O que uma aplicação de autenticação de dois fatores realmente faz

O termo "autenticação de dois fatores" significa que comprova a sua identidade usando dois fatores distintos:

1. Algo que sabe — a sua palavra-passe
2. Algo que tem — um dispositivo (o seu telemóvel a executar a app)

Quando ativa a 2FA num site, este gera uma chave secreta de 160 bits e codifica-a num código QR. Você digitaliza o QR com a sua app autenticadora; a chave secreta é guardada cifrada no seu dispositivo. A partir desse momento, a cada 30 segundos, a sua app e o servidor do site realizam um cálculo idêntico:

código TOTP = HMAC-SHA1(secret_key, floor(Unix_timestamp / 30))

Ambos os lados calculam o mesmo número de 6 dígitos. Quando submete o seu código no início de sessão, o servidor verifica se corresponde. É o padrão TOTP (Time-based One-Time Password, RFC 6238, publicado em 2011) — o mesmo algoritmo que corre em todas as apps autenticadoras do mercado.

O detalhe crucial: o código é calculado localmente. A sua app não contacta nenhum servidor, não usa uma ligação de rede e não comunica com nenhuma empresa. Se o seu telemóvel estiver em modo de voo dentro de um bunker, o código continua a gerar-se corretamente.

02 — Porque as apps 2FA batem a verificação por SMS

A 2FA por SMS era uma solução razoável em 2012. Em 2026, é o método 2FA mais fraco ainda em uso generalizado.

O ataque SIM swap:

Um SIM swap acontece quando um atacante liga à sua operadora telefónica, finge ser você e convence o agente do serviço de apoio a transferir o seu número para um novo SIM que ele controla. O atacante passa a receber todos os SMS enviados para o seu número — incluindo os seus códigos 2FA.

Os ataques SIM swap não exigem qualquer competência técnica. Exploram a engenharia social humana ao nível da operadora. O FBI recebeu mais de 1.600 queixas de SIM swap só em 2023, com perdas a ultrapassar os 68 milhões de dólares.

A escada de segurança dos métodos 2FA:

O TOTP não é à prova de phishing — uma página de phishing em tempo real bem construída pode reencaminhar o seu código para o atacante dentro da sua janela de 30 segundos. As chaves de hardware (FIDO2) eliminam isto ao vincular criptograficamente a autenticação ao domínio legítimo. Mas o TOTP é drasticamente melhor do que o SMS e não custa nada usar. É o piso, não o teto, da segurança moderna das contas.

Para a comparação completa, incluindo as chaves de hardware, veja o nosso guia completo do YubiKey FIDO2.

03 — Tabela comparativa: melhores apps de autenticação de dois fatores 2026

Todas as apps desta tabela são completamente gratuitas. Sem paywall para a geração de TOTP.

04 — Em profundidade: cada app que vale a pena conhecer

Aegis Authenticator

O Aegis é a escolha de referência para os utilizadores de Android que não querem qualquer dependência da cloud. O cofre é cifrado com AES-256 em repouso. As cópias de segurança são manuais, mas totalmente controladas pelo utilizador — exporta um ficheiro JSON cifrado e guarda-o onde quiser (disco local, Syncthing, o seu próprio S3). Open source GPL3, auditado em 2023 pela Cure53.

Para quem é: utilizadores avançados de Android, pessoas focadas na privacidade, quem desconfia totalmente dos serviços de cloud.

Limitação: apenas Android. Não existe versão iOS e nunca existirá — os programadores afirmaram-no explicitamente.

Proton Authenticator

Lançada em 2023 como parte do ecossistema Proton mais amplo (Pass, Mail, VPN, Drive). A app guarda os seeds TOTP com sincronização E2EE através da sua conta Proton — a mesma arquitetura zero-knowledge que o Proton Mail usa desde 2014. Disponível em iOS e Android, open source GPL3.

Se já usa o Proton Pass como gestor de palavras-passe, o Proton Authenticator dá-lhe uma app complementar no mesmo ecossistema de segurança, sem misturar as suas palavras-passe e o TOTP num único cofre.

Para quem é: utilizadores do ecossistema Proton, utilizadores de iOS que querem open source + sincronização, pessoas que estão a migrar dos serviços Google.

Bitwarden Authenticator

Uma app autónoma lançada pela Bitwarden em 2023 — separada do gestor de palavras-passe por opção de design. Sincronização E2EE através da conta Bitwarden, open source GPL3, importa do Google Authenticator e do Authy. Interface limpa.

A Bitwarden também oferece o armazenamento de TOTP dentro do cofre principal do gestor de palavras-passe (Bitwarden Premium, 10 $/ano). É cómodo, mas faz colapsar dois fatores num único cofre — aceitável para contas de rotina, não recomendado para banca ou email. Veja a nossa análise do Bitwarden para o quadro completo.

Para quem é: utilizadores Bitwarden existentes, quem quiser sincronização open source multiplataforma.

2FAS Authenticator

O 2FAS é um projeto open source polaco (licença Apache 2) que faz cópia de segurança através do iCloud (iOS) ou do Google Drive (Android) — sem necessidade de conta 2FAS. A extensão do navegador permite aprovar pedidos TOTP a partir do computador com um push para o seu telemóvel. Interface minimalista, rápida, fiável.

Para quem é: utilizadores que querem a configuração mais simples possível, sem novas contas para criar.

Ente Auth

O Ente Auth é o complemento autenticador do Ente Photos, construído sobre a mesma arquitetura E2EE. Genuinamente multiplataforma (iOS, Android, Windows, macOS, Linux, app web). Open source sob licença AGPL3. O plano gratuito inclui 3 GB de espaço para o Ente Photos + Auth combinados.

Para quem é: utilizadores avançados de desktop que querem o TOTP acessível em todos os dispositivos, incluindo PC, e entusiastas de Linux.

05 — TOTP integrado: gestor de palavras-passe ou app separada?

O Bitwarden Premium (10 $/ano) e o Proton Pass Plus (1,99 €/mês) suportam ambos o armazenamento de seeds TOTP diretamente no cofre de palavras-passe. Quando preenche automaticamente um início de sessão, o código TOTP é copiado automaticamente.

Argumentos a favor do TOTP integrado:

• Uma só app para gerir
• Cópia automática do código no início de sessão
• Cópia de segurança cifrada incluída com o cofre

Argumentos contra:

• Se o cofre do seu gestor de palavras-passe for comprometido, o atacante obtém simultaneamente a sua palavra-passe e o seu código TOTP — eliminando o fator "algo que tem"
• Para contas de alto valor (email principal, banca, cripto), a defesa em profundidade continua a recomendar apps separadas

Recomendação prática: use o TOTP integrado para contas de rotina (comércio eletrónico, subscrições, fóruns). Use uma app dedicada (Aegis, Proton Auth, 2FAS) para tudo onde uma violação causaria danos sérios.

Para uma avaliação completa de qual gestor de palavras-passe merece a sua confiança para a integração do TOTP, a nossa comparação de gestores de palavras-passe 2026 cobre preços, arquitetura e auditorias de segurança de todas as principais opções.

06 — Guia de configuração: ativar a 2FA em qualquer conta (passo a passo)

O processo é idêntico em todos os sites e em todas as apps:

1. Vá às definições de segurança no site de destino (geralmente em Conta → Segurança → Autenticação de dois fatores)
2. Escolha "App autenticadora" — não SMS, não email
3. Surge um código QR que contém a sua chave secreta
4. Abra a sua app autenticadora → toque em + ou Adicionar conta
5. Digitalize o código QR — a conta aparece de imediato na sua app
6. Introduza o código de 6 dígitos mostrado na app para confirmar a configuração
7. Guarde os seus códigos de recuperação — a maioria dos sites dá-lhe 8-10 códigos de backup para recuperar a conta caso perca o telemóvel. Guarde-os no seu gestor de palavras-passe ou imprima-os

Após a configuração: teste o código terminando a sessão e iniciando-a de novo antes de fechar o navegador.

07 — O que fazer se perder o telemóvel

Se tiver uma cópia de segurança cifrada configurada (Aegis, Proton Auth, Bitwarden Auth, 2FAS, Ente Auth):

1. Instale a app no seu novo telemóvel
2. Restaure a partir da sua cópia de segurança cifrada
3. Todos os códigos estão de volta — normalmente em menos de cinco minutos

Se não tiver cópia de segurança:

• Use os códigos de backup/recuperação que guardou durante a configuração (é por isso que guardá-los é importante)
• Contacte a equipa de apoio de cada serviço para desativar a 2FA e recuperar o acesso
• Conte com um processo de verificação de horas a dias por serviço

Se não tiver nem cópia de segurança nem códigos de recuperação:

• A maioria dos serviços exige a verificação de identidade (documento oficial, dados de faturação, verificação por email)
• Alguns recuperam a conta. Outros (as exchanges de criptomoedas, por exemplo) podem não o fazer

A lição: configure a cópia de segurança cifrada no primeiro dia. Não no segundo.

A PwdFortress analisa ferramentas de segurança de forma independente. As ligações para o Proton Pass e o Bitwarden são ligações de afiliação — não lhe custam nada extra e ajudam a financiar este site. O NordPass, mencionado em artigos relacionados, é também um parceiro do site. Estas parcerias nunca influenciam quais apps recomendamos nem como as avaliamos.