O Aegis afirmou-se como referência open source no Android, sobretudo depois de a Twilio ter removido o cliente de desktop do Authy. Esta comparação baseia-se em funcionalidades documentadas, modelos de backup e cifra e no consenso das análises públicas - não em capturas de ecrã de marketing.
Novo no conceito? Comece por o que faz uma aplicação de autenticação de dois fatores.
É exatamente por isso que os códigos SMS são arriscados - veja proteção contra SIM-swap.
01 - Veredicto em 30 segundos: quem vence em cada contexto
Pódio 2026:
1. Aegis - Campeão da privacidade no Android. Cofre local AES-256, backups cifrados manuais, open source GPL3, sem nuvem, sem rastreio. Única desvantagem: apenas Android.
2. Bitwarden Authenticator - Melhor escolha se já usa o Bitwarden como gestor de palavras-passe. Open source, sincronização E2EE, iOS + Android. Duas apps separadas, o mesmo ecossistema.
3. Google Authenticator - Melhor escolha mainstream. iOS + Android, sincronização E2EE com a conta Google (desde 2023), 600 milhões de utilizadores, interface minimalista. Closed source.
4. Microsoft Authenticator - Essencial no ecossistema Microsoft/Azure. Notificações push, sem palavra-passe, backup na nuvem Microsoft.
5. Authy - Ainda funcional em 2026 (móvel) mas já não recomendado para novos utilizadores. Desktop removido em agosto de 2024.
Recomendação rápida: Android, privacidade primeiro → Aegis. iOS ou mainstream → Google Authenticator ou Bitwarden Auth. Empresa Microsoft → Microsoft Authenticator.
02 - O que é uma app 2FA TOTP?
Uma app de autenticação é uma forma de autenticação de dois fatores (2FA) - o segundo fator «algo que tem». TOTP = Time-based One-Time Password, definido no RFC 6238 (2011). O protocolo gera um código de 6 dígitos válido durante exatamente 30 segundos, calculado a partir de dois elementos:
- Uma chave secreta (seed de 160 bits, partilhada durante a ativação da 2FA, codificada no código QR)
- O tempo Unix atual arredondado a 30 segundos
O cálculo é um HMAC-SHA1 local - nenhuma ligação à internet necessária para gerar o código. O servidor e a sua app fazem o mesmo cálculo; se os códigos coincidirem, está autenticado.
Comparação de segurança dos métodos 2FA:
| Método | Phishável? | Resistente ao SIM-swap? | Exige rede? |
|---|---|---|---|
| FIDO2/Passkeys | Não ✅ | Sim ✅ | Não ✅ |
| TOTP (apps 2FA) | Sim (em tempo real) | Sim ✅ | Não ✅ |
| Notificação push | Sim (fadiga) | Sim ✅ | Sim |
| OTP por SMS | Sim | Não ❌ | Sim |
O TOTP é 10 vezes mais resistente ao SIM-swapping do que o SMS. Saiba mais sobre passkeys vs palavras-passe para subir ainda mais na hierarquia da segurança.
03 - Comparação técnica: 5 apps × 10 critérios
| Critério | Aegis | Bitwarden Auth | Google Auth | Authy | Microsoft Auth |
|---|---|---|---|---|---|
| Open source | ✅ GPL3 | ✅ GPL3 | ❌ | ❌ | ❌ |
| Plataformas | Só Android | iOS + Android | iOS + Android | iOS + Android | iOS + Android |
| Sincronização na nuvem | ❌ (só local) | ✅ E2EE Bitwarden | ✅ E2EE Google | ✅ AES-256 | ✅ Nuvem Microsoft |
| Backup cifrado | ✅ Manual AES-256 | ✅ Auto E2EE | ✅ E2EE Google | ✅ Nuvem AES-256 | ✅ Microsoft |
| Multidispositivo | ❌ | ✅ | ✅ | ✅ | ✅ |
| Desbloqueio biométrico | ✅ | ✅ | ✅ | ✅ | ✅ |
| Pesquisa no cofre | ✅ | ✅ | ✅ | ✅ | ✅ |
| Exportação de dados | ✅ JSON/CSV | ✅ | ⚠️ Limitada | ⚠️ Difícil | ❌ |
| Desktop/Web | ❌ | ❌ | ❌ | ❌ (removido 2024) | ❌ |
| Preço | Grátis | Grátis | Grátis | Grátis | Grátis |
Todas as apps são completamente gratuitas - sem nível premium para o autenticador em si.
04 - Perfil de cada app
Aegis Authenticator
Lançada: 2018. Mantida por: beemdevelopment (comunidade open source). Plataforma: apenas Android (F-Droid + Google Play).
Pontos fortes: O cofre mais robusto desta comparação. Cifrado em AES-256 em repouso. Import/export JSON com cifra. Backup automático para pasta local ou nuvem Android (Drive, Syncthing, etc.) mas totalmente controlado pelo utilizador. Interface limpa, modo escuro, pesquisa rápida, grupos personalizados.
Pontos fracos: Zero iOS. Zero sincronização automática nativa (configuração manual necessária). Para utilizadores não técnicos, a configuração do backup pode intimidar.
Utilizador-alvo: Maximalistas da privacidade, utilizadores avançados de Android, jornalistas, investigadores de segurança, qualquer pessoa que queira zero confiança na nuvem.
Bitwarden Authenticator
Lançada: 2023 (app separada do gestor de palavras-passe). Plataforma: iOS + Android.
Pontos fortes: Sincronização E2EE via conta Bitwarden. Open source como o Bitwarden (GPL3). Se já usa o Bitwarden como gestor de palavras-passe, a integração é natural. Interface limpa, importação do Google Authenticator e do Authy.
Pontos fracos: Exige uma conta Bitwarden (gratuita, mas com dependência da nuvem). Ainda uma app jovem (menos funcionalidades avançadas do que o Aegis). Nunca se fundirá com a app principal do Bitwarden (decisão deliberada da empresa para separação de riscos).
Utilizador-alvo: Utilizadores Bitwarden existentes. Pessoas que querem open source + sincronização multidispositivo sem atritos.
Google Authenticator
Lançada: 2010. Utilizadores: mais de 600 milhões. Plataforma: iOS + Android.
Evolução-chave de 2023: a Google adicionou a sincronização automática dos códigos TOTP com a conta Google (E2EE opcional desde abril de 2024). Antes de 2023, sem backup nativo - perder o telefone significava perder os códigos. Esta mudança resolveu o principal ponto fraco da app.
Pontos fortes: A app mais simples de usar. Integração nativa no ecossistema Google. Mais de 600 milhões de utilizadores = compatibilidade quase universal. Sincronização E2EE disponível.
Pontos fracos: Closed source. Dependência da conta Google. Exportação de códigos limitada (formato protobuf da Google, não TOTP padrão). Se perder a sua conta Google, perde os seus códigos TOTP.
Utilizador-alvo: Utilizadores mainstream. Utilizadores do ecossistema Google. Pessoas que não querem configurar nada.
Authy (Twilio)
Lançada: 2012. Adquirida pela Twilio em 2015. Plataforma: iOS + Android (desktop removido em agosto de 2024).
O que mudou: a Twilio descontinuou oficialmente as apps de desktop do Authy (Windows, macOS, Linux) em agosto de 2024, alegando a vontade de se focar no móvel. Os utilizadores de desktop perderam o acesso - um duro golpe para os power users. A app móvel mantém-se funcional.
Pontos fortes: Multidispositivo móvel maduro. Backup na nuvem cifrado em AES-256 com palavra-passe de backup separada. Interface limpa.
Pontos fracos: Closed source. Desktop removido. A Twilio é uma empresa de telecomunicações B2B, não uma empresa orientada à segurança. Histórico: fuga de números de telefone em 2022 (33 milhões de utilizadores). Não recomendado para novos utilizadores.
Utilizador-alvo: Utilizadores existentes que não querem migrar. Os novos utilizadores devem preferir o Aegis ou o Bitwarden Auth.
Microsoft Authenticator
Lançada: 2016. Plataforma: iOS + Android.
Pontos fortes: Integração nativa Azure AD / Microsoft 365. Notificações push para aprovação com 1 toque. Modo sem palavra-passe (iniciar sessão sem palavra-passe via notificação). Backup na nuvem ligado à conta Microsoft.
Pontos fracos: Closed source. Dependência da conta Microsoft. Interface mais pesada do que as alternativas. Exportação de códigos TOTP impossível (dados bloqueados no ecossistema Microsoft).
Utilizador-alvo: Empresas com Azure AD. Utilizadores do Microsoft 365. Contexto de MFA empresarial - veja o nosso guia de gestores de palavras-passe empresariais.
05 - Comparação de segurança: quem cifra o quê, como e onde
Risco #1: comprometimento da nuvem
Se o servidor na nuvem for comprometido, o que acontece?
- Aegis: zero risco de nuvem (sem nuvem). Cofre armazenado localmente, cifrado em AES-256 mesmo que copie manualmente o ficheiro para o Drive.
- Bitwarden Auth: a nuvem do Bitwarden armazena dados cifrados no lado do cliente. O Bitwarden concluiu uma auditoria Cure53 em 2023. Zero texto simples no lado do servidor.
- Google Auth: a Google armazena as suas seeds TOTP na sua conta Google com E2EE opcional. Se alguém aceder à sua conta Google → risco.
- Authy: servidores Twilio + palavra-passe de backup AES-256 separada. A chave de decifra nunca sai do seu dispositivo se a palavra-passe de backup for forte.
- Microsoft Auth: armazenamento na nuvem Microsoft. Se a sua conta Microsoft for comprometida → risco.
Risco #2: conta central roubada
O Google Authenticator e o Microsoft Authenticator criam um ponto único de falha: se a sua conta Google/Microsoft for comprometida, o atacante pode aceder aos seus códigos TOTP E ao seu email E aos seus outros serviços em simultâneo.
Regra de ouro: use uma app 2FA separada do seu fornecedor de email principal. Se usa o Gmail, não use o Google Authenticator para contas críticas.
Risco #3: exportação e portabilidade
Para a migração: Aegis (JSON cifrado, trivial) > Bitwarden Auth (exportação JSON) > Authy (difícil, sem exportação direta) > Microsoft Auth (impossível de forma nativa) > Google Auth (formato protobuf da Google, exige a app para digitalizar).
A portabilidade importa para a segurança a longo prazo: ficar preso a um ecossistema = risco de perder o acesso ao mudar de plataforma.
Risco n.º 4: a aplicação não é toda a defesa. Qualquer que seja a aplicação escolhida, um código TOTP pode ser retransmitido em tempo real por uma página de phishing, ou contornado por completo com um cookie de sessão roubado, nenhum dos dois se resolve escolhendo uma aplicação melhor. Como os atacantes contornam a MFA, e o que os trava descreve esses ataques e as definições que realmente os enfraquecem.
06 - Migração: do Authy (ou Google) para o Aegis, passo a passo
O Authy Desktop desapareceu em 2024 - se era utilizador de desktop, eis como migrar para o Aegis de forma limpa.
Pré-requisitos: Aegis instalado no Android + Authy no móvel.
Método 1: voltar a digitalizar os códigos QR (limpo mas lento)
- Para cada serviço, vá a Definições → Segurança → 2FA
- Desative a 2FA existente (introduza o código Authy para confirmar)
- Reative a 2FA - aparece um código QR
- Digitalize com o Aegis
- Confirme que o código do Aegis funciona
Método 2: via Authy Desktop (se ainda tiver acesso) A app Authy Desktop, antes da sua remoção, permitia a exportação das seeds através de um script da comunidade. Este método já não está disponível para novos utilizadores (desktop removido).
Migração Google Authenticator → Aegis (método oficial):
- Google Authenticator → Menu → Transferir contas → Exportar contas → Selecionar tudo
- Código QR de transferência gerado (formato protobuf da Google)
- Aegis → + → Digitalizar → Importar do Google Authenticator
- Digitalize o código QR com o Aegis
- Não elimine o Google Authenticator antes de testar o Aegis em 2-3 sites críticos
Após a migração: ative imediatamente o backup cifrado do Aegis (Definições → Backups → ative o backup automático + defina uma palavra-passe de backup forte).
07 - Recomendação por perfil de utilizador
Segurança máxima pretendida (Android) → Aegis. Cofre local cifrado, sem nuvem, open source, backups cifrados manuais. Configuração inicial ligeiramente mais complexa, mas zero compromissos na privacidade.
Já usa o Bitwarden → Bitwarden Authenticator. A integração é natural. Open source, sincronização E2EE. A nossa comparação Proton Pass vs Bitwarden pode ajudar a validar a escolha do seu gestor principal.
Utilizador mainstream, iOS ou Android → Google Authenticator. O mais fácil de configurar, sincronização E2EE disponível, mais de 600 milhões de utilizadores. Closed source mas aceitável para uso padrão.
Empresa com Azure AD / Microsoft 365 → Microsoft Authenticator. Notificações push, sem palavra-passe, integração nativa. Para o contexto de MFA empresarial, veja o nosso guia de gestores de palavras-passe empresariais.
Já usa o Authy e funciona → fique por agora, mas planeie uma migração para o Aegis ou o Bitwarden Auth a médio prazo. O ecossistema Authy estagnou desde a remoção do desktop.
08 - Mais duas opções open source: 2FAS e Ente Auth
Se quer open source mas o modelo do Aegis (apenas Android, offline em primeiro lugar) não lhe serve, há duas opções multiplataforma que vale a pena conhecer.
2FAS é uma app TOTP open source para iOS e Android. Mantém os segredos no dispositivo, oferece um backup cifrado opcional no seu próprio iCloud/Google Drive e inclui uma extensão de navegador que permite aprovar códigos a partir do computador sem voltar a sincronizar as seeds para um servidor. É uma escolha sólida se quer open source especificamente no iOS, onde o Aegis não está disponível.
Ente Auth é o autenticador open source da equipa por trás da app de fotos Ente. Acrescenta sincronização na nuvem cifrada de ponta a ponta entre dispositivos (iOS, Android, desktop e web) por cima do TOTP padrão, com importação a partir do Google Authenticator, Aegis e 2FAS. Adequa-se a quem quer a abertura ao estilo Aegis mais sincronização multidispositivo automática sem ligar as suas seeds a uma conta Google ou Microsoft.
Ambas são gratuitas e open source. Para uso offline apenas em Android, o Aegis continua à frente; para open source multiplataforma, o 2FAS (local + backup opcional) e o Ente Auth (sync E2EE) são os dois a comparar.
Lembrete-chave: a 2FA TOTP é uma camada de segurança por cima do seu gestor de palavras-passe. São complementares - uma palavra-passe forte e única + TOTP = proteção ótima.
Para as definições de TOTP, HOTP, 2FA, passkey e chave de hardware, veja o glossário de autenticação da PwdFortress.
A PwdFortress analisa apps de segurança de forma independente, com base na documentação pública e na análise de funcionalidades. Nenhuma app 2FA nesta comparação paga comissão. Os links internos para o Bitwarden referem-se à nossa parceria com o gestor de palavras-passe Bitwarden (um produto distinto).
Guias relacionados
- Chave de segurança vs aplicação de autenticação: o que o NIST diz de facto sobre phishing
- O que são os códigos de recuperação? A lista que passou à frente e onde devia ficar
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Um gestor com 2FA e passkeys integrados → NordPassGuarde TOTP e passkeys · XChaCha20 · plano gratuito→Perguntas frequentes
Qual é a melhor app de autenticação 2FA em 2026?
Para **máxima privacidade**: Aegis (Android, open source, cofre local AES-256, sem nuvem). Para **utilizadores mainstream iOS/Android**: Google Authenticator (sincronização E2EE com a conta Google, mais de 600 milhões de utilizadores). Para **utilizadores Bitwarden existentes**: Bitwarden Authenticator (sincronização nativa, o mesmo ecossistema). Para o **ecossistema Microsoft**: Microsoft Authenticator (notificações push, sem palavra-passe). O Authy continua funcional em dispositivos móveis, mas a Twilio removeu a app de desktop em 2024.
O que é o TOTP e em que difere da 2FA por SMS?
O **TOTP** (Time-based One-Time Password, RFC 6238) gera um código de 6 dígitos válido durante 30 segundos, calculado localmente a partir de uma chave secreta partilhada e do tempo Unix. Não é necessária ligação à internet para gerar o código. A **2FA por SMS** envia o código através do seu operador telefónico - vulnerável ao SIM-swapping (o atacante transfere o seu número para o operador dele). O TOTP é estatisticamente 10 vezes mais resistente do que o SMS ao phishing dirigido.
Aegis vs Google Authenticator: qual escolher?
**Aegis** se está no Android e a privacidade importa: cofre local cifrado em AES-256, backups cifrados manuais, sem nuvem, open source GPL3. **Google Authenticator** se quer simplicidade e está no ecossistema Google: sincronização E2EE automática com a sua conta Google desde 2023, iOS + Android, sem configuração de backup. Para utilizadores de iOS, o Aegis não está disponível - o Google Authenticator ou o Bitwarden Authenticator são as suas melhores opções.
O Authy ainda é recomendado em 2026?
O Authy continua funcional em 2026 no iOS e no Android, com sincronização na nuvem multidispositivo e cifra AES-256. **A mudança fundamental**: a Twilio removeu a app de desktop do Authy em agosto de 2024. O ecossistema móvel está intacto. No entanto, como o Authy é closed source e propriedade da Twilio (uma empresa de telecomunicações B2B, não orientada à segurança), preferimos o Aegis (Android) ou o Bitwarden Authenticator para os novos utilizadores.
Como migro do Google Authenticator para o Aegis?
1. No Google Authenticator, toque nos 3 pontos → **Transferir contas** → **Exportar contas**. 2. Aparece um código QR de transferência (formato protobuf da Google). 3. No Aegis → **+** → **Importar** → **Google Authenticator**. 4. Digitalize o código QR. 5. Os seus códigos TOTP são importados. **Atenção**: NÃO elimine o Google Authenticator antes de verificar que os códigos do Aegis funcionam em 2-3 sites.
As apps 2FA funcionam sem internet?
**Sim**. O TOTP é calculado localmente (chave secreta + tempo Unix). Nenhuma ligação necessária para gerar os códigos. A sincronização na nuvem (backup, multidispositivo) exige internet, mas **a geração de códigos funciona offline**. É uma grande vantagem face à 2FA por SMS, que depende da rede telefónica.
O que acontece se perder o telefone com a minha app 2FA?
**Sem backup**: perde o acesso a todas as contas protegidas por 2FA - terá de contactar o suporte de cada serviço (longo e penoso). **Com backup cifrado** (Aegis, Bitwarden Auth, Google Auth E2EE): restaura os seus códigos num novo telefone em minutos. **Regra de ouro**: configure o backup antes de ativar a 2FA nas contas críticas.
O Microsoft Authenticator pode substituir o Google Authenticator?
**Sim**, o Microsoft Authenticator suporta o TOTP padrão e pode importar contas do Google Authenticator através de códigos QR individuais. O seu ponto forte é a integração Microsoft (Azure AD, Office 365, sem palavra-passe via notificação push). Mas não é open source e o backup na nuvem está ligado à sua conta Microsoft. Para empresas com Azure AD: escolha natural. Para particulares sem um ecossistema MS: o Google Authenticator ou o Bitwarden Auth são mais simples.
Aegis vs Bitwarden Authenticator: qual escolher?
O **Aegis** é apenas para Android e offline por predefinição (cofre local AES-256, backups cifrados manuais, open source GPL3) - ideal para zero nuvem e controlo máximo. O **Bitwarden Authenticator** é multiplataforma (iOS + Android) e armazena as seeds TOTP cifradas de ponta a ponta, sincronizadas através da sua conta Bitwarden - ideal se já usa o Bitwarden e quer sincronização multidispositivo automática. Ambos são open source: escolha o Aegis para a privacidade offline só no Android, o Bitwarden Authenticator para a conveniência multidispositivo dentro de uma configuração Bitwarden existente.
Authy vs Bitwarden Authenticator: qual é melhor em 2026?
O **Bitwarden Authenticator** é open source, multiplataforma, com sincronização cifrada de ponta a ponta ligada a uma conta Bitwarden, e integra-se com o gestor de palavras-passe Bitwarden. O **Authy** é closed source, propriedade da Twilio, com sincronização na nuvem multidispositivo (AES-256) mas sem app de desktop desde agosto de 2024. Para novos utilizadores recomendamos o Bitwarden Authenticator: open source e um ecossistema ativo. O Authy ainda funciona se já depende dele, mas deixou de ser a nossa escolha predefinida.
Existe um autenticador open source no iOS, já que o Aegis é apenas para Android?
Sim. O **2FAS** é open source no iOS e Android, mantém os segredos no dispositivo e oferece um backup cifrado opcional no seu próprio iCloud/Google Drive. O **Ente Auth** também é open source e acrescenta sincronização multidispositivo cifrada de ponta a ponta (iOS, Android, desktop e web) com importação a partir do Google Authenticator e do Aegis. O **Bitwarden Authenticator** é outra opção open source no iOS com sync E2EE. No iOS, portanto, não está limitado a apps closed source - 2FAS, Ente Auth e Bitwarden Authenticator são todos open source.
