7 melhores apps de autenticação 2026: Aegis vs Google vs Authy

O Aegis afirmou-se como referência open source no Android, sobretudo depois de a Twilio ter removido o cliente de desktop do Authy. Esta comparação baseia-se em funcionalidades documentadas, modelos de backup e cifra e no consenso das análises públicas – não em capturas de ecrã de marketing.

01 — Veredicto em 30 segundos: quem vence em cada contexto

Pódio 2026:

1. Aegis — Campeão da privacidade no Android. Cofre local AES-256, backups cifrados manuais, open source GPL3, sem nuvem, sem rastreio. Única desvantagem: apenas Android.

2. Bitwarden Authenticator — Melhor escolha se já usa o Bitwarden como gestor de palavras-passe. Open source, sincronização E2EE, iOS + Android. Duas apps separadas, o mesmo ecossistema.

3. Google Authenticator — Melhor escolha mainstream. iOS + Android, sincronização E2EE com a conta Google (desde 2023), 600 milhões de utilizadores, interface minimalista. Closed source.

4. Microsoft Authenticator — Essencial no ecossistema Microsoft/Azure. Notificações push, sem palavra-passe, backup na nuvem Microsoft.

5. Authy — Ainda funcional em 2026 (móvel) mas já não recomendado para novos utilizadores. Desktop removido em agosto de 2024.

Recomendação rápida: Android, privacidade primeiro → Aegis. iOS ou mainstream → Google Authenticator ou Bitwarden Auth. Empresa Microsoft → Microsoft Authenticator.

02 — O que é uma app 2FA TOTP?

Uma app de autenticação é uma forma de autenticação de dois fatores (2FA) – o segundo fator «algo que tem». TOTP = Time-based One-Time Password, definido no RFC 6238 (2011). O protocolo gera um código de 6 dígitos válido durante exatamente 30 segundos, calculado a partir de dois elementos:

• Uma chave secreta (seed de 160 bits, partilhada durante a ativação da 2FA, codificada no código QR)
• O tempo Unix atual arredondado a 30 segundos

O cálculo é um HMAC-SHA1 local – nenhuma ligação à internet necessária para gerar o código. O servidor e a sua app fazem o mesmo cálculo; se os códigos coincidirem, está autenticado.

Comparação de segurança dos métodos 2FA:

O TOTP é 10 vezes mais resistente ao SIM-swapping do que o SMS. Saiba mais sobre passkeys vs palavras-passe para subir ainda mais na hierarquia da segurança.

03 — Comparação técnica: 5 apps × 10 critérios

Todas as apps são completamente gratuitas – sem nível premium para o autenticador em si.

04 — Perfil de cada app

Aegis Authenticator

Lançada: 2018. Mantida por: beemdevelopment (comunidade open source). Plataforma: apenas Android (F-Droid + Google Play).

Pontos fortes: O cofre mais robusto desta comparação. Cifrado em AES-256 em repouso. Import/export JSON com cifra. Backup automático para pasta local ou nuvem Android (Drive, Syncthing, etc.) mas totalmente controlado pelo utilizador. Interface limpa, modo escuro, pesquisa rápida, grupos personalizados.

Pontos fracos: Zero iOS. Zero sincronização automática nativa (configuração manual necessária). Para utilizadores não técnicos, a configuração do backup pode intimidar.

Utilizador-alvo: Maximalistas da privacidade, utilizadores avançados de Android, jornalistas, investigadores de segurança, qualquer pessoa que queira zero confiança na nuvem.

Bitwarden Authenticator

Lançada: 2023 (app separada do gestor de palavras-passe). Plataforma: iOS + Android.

Pontos fortes: Sincronização E2EE via conta Bitwarden. Open source como o Bitwarden (GPL3). Se já usa o Bitwarden como gestor de palavras-passe, a integração é natural. Interface limpa, importação do Google Authenticator e do Authy.

Pontos fracos: Exige uma conta Bitwarden (gratuita, mas com dependência da nuvem). Ainda uma app jovem (menos funcionalidades avançadas do que o Aegis). Nunca se fundirá com a app principal do Bitwarden (decisão deliberada da empresa para separação de riscos).

Utilizador-alvo: Utilizadores Bitwarden existentes. Pessoas que querem open source + sincronização multidispositivo sem atritos.

Google Authenticator

Lançada: 2010. Utilizadores: mais de 600 milhões. Plataforma: iOS + Android.

Evolução-chave de 2023: a Google adicionou a sincronização automática dos códigos TOTP com a conta Google (E2EE opcional desde abril de 2024). Antes de 2023, sem backup nativo – perder o telefone significava perder os códigos. Esta mudança resolveu o principal ponto fraco da app.

Pontos fortes: A app mais simples de usar. Integração nativa no ecossistema Google. Mais de 600 milhões de utilizadores = compatibilidade quase universal. Sincronização E2EE disponível.

Pontos fracos: Closed source. Dependência da conta Google. Exportação de códigos limitada (formato protobuf da Google, não TOTP padrão). Se perder a sua conta Google, perde os seus códigos TOTP.

Utilizador-alvo: Utilizadores mainstream. Utilizadores do ecossistema Google. Pessoas que não querem configurar nada.

Authy (Twilio)

Lançada: 2012. Adquirida pela Twilio em 2015. Plataforma: iOS + Android (desktop removido em agosto de 2024).

O que mudou: a Twilio descontinuou oficialmente as apps de desktop do Authy (Windows, macOS, Linux) em agosto de 2024, alegando a vontade de se focar no móvel. Os utilizadores de desktop perderam o acesso – um duro golpe para os power users. A app móvel mantém-se funcional.

Pontos fortes: Multidispositivo móvel maduro. Backup na nuvem cifrado em AES-256 com palavra-passe de backup separada. Interface limpa.

Pontos fracos: Closed source. Desktop removido. A Twilio é uma empresa de telecomunicações B2B, não uma empresa orientada à segurança. Histórico: fuga de números de telefone em 2022 (33 milhões de utilizadores). Não recomendado para novos utilizadores.

Utilizador-alvo: Utilizadores existentes que não querem migrar. Os novos utilizadores devem preferir o Aegis ou o Bitwarden Auth.

Microsoft Authenticator

Lançada: 2016. Plataforma: iOS + Android.

Pontos fortes: Integração nativa Azure AD / Microsoft 365. Notificações push para aprovação com 1 toque. Modo sem palavra-passe (iniciar sessão sem palavra-passe via notificação). Backup na nuvem ligado à conta Microsoft.

Pontos fracos: Closed source. Dependência da conta Microsoft. Interface mais pesada do que as alternativas. Exportação de códigos TOTP impossível (dados bloqueados no ecossistema Microsoft).

Utilizador-alvo: Empresas com Azure AD. Utilizadores do Microsoft 365. Contexto de MFA empresarial – veja o nosso guia de gestores de palavras-passe empresariais.

05 — Comparação de segurança: quem cifra o quê, como e onde

Risco #1: comprometimento da nuvem

Se o servidor na nuvem for comprometido, o que acontece?

• Aegis: zero risco de nuvem (sem nuvem). Cofre armazenado localmente, cifrado em AES-256 mesmo que copie manualmente o ficheiro para o Drive.
• Bitwarden Auth: a nuvem do Bitwarden armazena dados cifrados no lado do cliente. O Bitwarden concluiu uma auditoria Cure53 em 2023. Zero texto simples no lado do servidor.
• Google Auth: a Google armazena as suas seeds TOTP na sua conta Google com E2EE opcional. Se alguém aceder à sua conta Google → risco.
• Authy: servidores Twilio + palavra-passe de backup AES-256 separada. A chave de decifra nunca sai do seu dispositivo se a palavra-passe de backup for forte.
• Microsoft Auth: armazenamento na nuvem Microsoft. Se a sua conta Microsoft for comprometida → risco.

Risco #2: conta central roubada

O Google Authenticator e o Microsoft Authenticator criam um ponto único de falha: se a sua conta Google/Microsoft for comprometida, o atacante pode aceder aos seus códigos TOTP E ao seu email E aos seus outros serviços em simultâneo.

Regra de ouro: use uma app 2FA separada do seu fornecedor de email principal. Se usa o Gmail, não use o Google Authenticator para contas críticas.

Risco #3: exportação e portabilidade

Para a migração: Aegis (JSON cifrado, trivial) > Bitwarden Auth (exportação JSON) > Authy (difícil, sem exportação direta) > Microsoft Auth (impossível de forma nativa) > Google Auth (formato protobuf da Google, exige a app para digitalizar).

A portabilidade importa para a segurança a longo prazo: ficar preso a um ecossistema = risco de perder o acesso ao mudar de plataforma.

06 — Migração: do Authy (ou Google) para o Aegis, passo a passo

O Authy Desktop desapareceu em 2024 – se era utilizador de desktop, eis como migrar para o Aegis de forma limpa.

Pré-requisitos: Aegis instalado no Android + Authy no móvel.

Método 1: voltar a digitalizar os códigos QR (limpo mas lento)

1. Para cada serviço, vá a Definições → Segurança → 2FA
2. Desative a 2FA existente (introduza o código Authy para confirmar)
3. Reative a 2FA – aparece um código QR
4. Digitalize com o Aegis
5. Confirme que o código do Aegis funciona

Método 2: via Authy Desktop (se ainda tiver acesso) A app Authy Desktop, antes da sua remoção, permitia a exportação das seeds através de um script da comunidade. Este método já não está disponível para novos utilizadores (desktop removido).

Migração Google Authenticator → Aegis (método oficial):

1. Google Authenticator → Menu → Transferir contas → Exportar contas → Selecionar tudo
2. Código QR de transferência gerado (formato protobuf da Google)
3. Aegis → + → Digitalizar → Importar do Google Authenticator
4. Digitalize o código QR com o Aegis
5. Não elimine o Google Authenticator antes de testar o Aegis em 2-3 sites críticos

Após a migração: ative imediatamente o backup cifrado do Aegis (Definições → Backups → ative o backup automático + defina uma palavra-passe de backup forte).

07 — Recomendação por perfil de utilizador

Segurança máxima pretendida (Android) → Aegis. Cofre local cifrado, sem nuvem, open source, backups cifrados manuais. Configuração inicial ligeiramente mais complexa, mas zero compromissos na privacidade.

Já usa o Bitwarden → Bitwarden Authenticator. A integração é natural. Open source, sincronização E2EE. A nossa comparação Proton Pass vs Bitwarden pode ajudar a validar a escolha do seu gestor principal.

Utilizador mainstream, iOS ou Android → Google Authenticator. O mais fácil de configurar, sincronização E2EE disponível, mais de 600 milhões de utilizadores. Closed source mas aceitável para uso padrão.

Empresa com Azure AD / Microsoft 365 → Microsoft Authenticator. Notificações push, sem palavra-passe, integração nativa. Para o contexto de MFA empresarial, veja o nosso guia de gestores de palavras-passe empresariais.

Já usa o Authy e funciona → fique por agora, mas planeie uma migração para o Aegis ou o Bitwarden Auth a médio prazo. O ecossistema Authy estagnou desde a remoção do desktop.

Lembrete-chave: a 2FA TOTP é uma camada de segurança por cima do seu gestor de palavras-passe. São complementares – uma palavra-passe forte e única + TOTP = proteção ótima.

Para as definições de TOTP, HOTP, 2FA, passkey e chave de hardware, veja o glossário de autenticação da PwdFortress.

A PwdFortress analisa apps de segurança de forma independente, com base na documentação pública e na análise de funcionalidades. Nenhuma app 2FA nesta comparação paga comissão. Os links internos para o Bitwarden referem-se à nossa parceria com o gestor de palavras-passe Bitwarden (um produto distinto).