O Aegis afirmou-se como referência open source no Android, sobretudo depois de a Twilio ter removido o cliente de desktop do Authy. Esta comparação baseia-se em funcionalidades documentadas, modelos de backup e cifra e no consenso das análises públicas - não em capturas de ecrã de marketing.
Novo no conceito? Comece por o que faz uma aplicação de autenticação de dois fatores.
É exatamente por isso que os códigos SMS são arriscados - veja proteção contra SIM-swap.
01 - Veredicto em 30 segundos: quem vence em cada contexto
Pódio 2026:
1. Aegis - Campeão da privacidade no Android. Cofre local AES-256, backups cifrados manuais, open source GPL3, sem nuvem, sem rastreio. Única desvantagem: apenas Android.
2. Bitwarden Authenticator - Melhor escolha se já usa o Bitwarden como gestor de palavras-passe. Open source, sincronização E2EE, iOS + Android. Duas apps separadas, o mesmo ecossistema.
3. Google Authenticator - Melhor escolha mainstream. iOS + Android, sincronização E2EE com a conta Google (desde 2023), 600 milhões de utilizadores, interface minimalista. Closed source.
4. Microsoft Authenticator - Essencial no ecossistema Microsoft/Azure. Notificações push, sem palavra-passe, backup na nuvem Microsoft.
5. Authy - Ainda funcional em 2026 (móvel) mas já não recomendado para novos utilizadores. Desktop removido em agosto de 2024.
Recomendação rápida: Android, privacidade primeiro → Aegis. iOS ou mainstream → Google Authenticator ou Bitwarden Auth. Empresa Microsoft → Microsoft Authenticator.
02 - O que é uma app 2FA TOTP?
Uma app de autenticação é uma forma de autenticação de dois fatores (2FA) - o segundo fator «algo que tem». TOTP = Time-based One-Time Password, definido no RFC 6238 (2011). O protocolo gera um código de 6 dígitos válido durante exatamente 30 segundos, calculado a partir de dois elementos:
- Uma chave secreta (seed de 160 bits, partilhada durante a ativação da 2FA, codificada no código QR)
- O tempo Unix atual arredondado a 30 segundos
O cálculo é um HMAC-SHA1 local - nenhuma ligação à internet necessária para gerar o código. O servidor e a sua app fazem o mesmo cálculo; se os códigos coincidirem, está autenticado.
Comparação de segurança dos métodos 2FA:
| Método | Phishável? | Resistente ao SIM-swap? | Exige rede? |
|---|---|---|---|
| FIDO2/Passkeys | Não ✅ | Sim ✅ | Não ✅ |
| TOTP (apps 2FA) | Sim (em tempo real) | Sim ✅ | Não ✅ |
| Notificação push | Sim (fadiga) | Sim ✅ | Sim |
| OTP por SMS | Sim | Não ❌ | Sim |
O TOTP é 10 vezes mais resistente ao SIM-swapping do que o SMS. Saiba mais sobre passkeys vs palavras-passe para subir ainda mais na hierarquia da segurança.
03 - Comparação técnica: 5 apps × 10 critérios
| Critério | Aegis | Bitwarden Auth | Google Auth | Authy | Microsoft Auth |
|---|---|---|---|---|---|
| Open source | ✅ GPL3 | ✅ GPL3 | ❌ | ❌ | ❌ |
| Plataformas | Só Android | iOS + Android | iOS + Android | iOS + Android | iOS + Android |
| Sincronização na nuvem | ❌ (só local) | ✅ E2EE Bitwarden | ✅ E2EE Google | ✅ AES-256 | ✅ Nuvem Microsoft |
| Backup cifrado | ✅ Manual AES-256 | ✅ Auto E2EE | ✅ E2EE Google | ✅ Nuvem AES-256 | ✅ Microsoft |
| Multidispositivo | ❌ | ✅ | ✅ | ✅ | ✅ |
| Desbloqueio biométrico | ✅ | ✅ | ✅ | ✅ | ✅ |
| Pesquisa no cofre | ✅ | ✅ | ✅ | ✅ | ✅ |
| Exportação de dados | ✅ JSON/CSV | ✅ | ⚠️ Limitada | ⚠️ Difícil | ❌ |
| Desktop/Web | ❌ | ❌ | ❌ | ❌ (removido 2024) | ❌ |
| Preço | Grátis | Grátis | Grátis | Grátis | Grátis |
Todas as apps são completamente gratuitas - sem nível premium para o autenticador em si.
04 - Perfil de cada app
Aegis Authenticator
Lançada: 2018. Mantida por: beemdevelopment (comunidade open source). Plataforma: apenas Android (F-Droid + Google Play).
Pontos fortes: O cofre mais robusto desta comparação. Cifrado em AES-256 em repouso. Import/export JSON com cifra. Backup automático para pasta local ou nuvem Android (Drive, Syncthing, etc.) mas totalmente controlado pelo utilizador. Interface limpa, modo escuro, pesquisa rápida, grupos personalizados.
Pontos fracos: Zero iOS. Zero sincronização automática nativa (configuração manual necessária). Para utilizadores não técnicos, a configuração do backup pode intimidar.
Utilizador-alvo: Maximalistas da privacidade, utilizadores avançados de Android, jornalistas, investigadores de segurança, qualquer pessoa que queira zero confiança na nuvem.
Bitwarden Authenticator
Lançada: 2023 (app separada do gestor de palavras-passe). Plataforma: iOS + Android.
Pontos fortes: Sincronização E2EE via conta Bitwarden. Open source como o Bitwarden (GPL3). Se já usa o Bitwarden como gestor de palavras-passe, a integração é natural. Interface limpa, importação do Google Authenticator e do Authy.
Pontos fracos: Exige uma conta Bitwarden (gratuita, mas com dependência da nuvem). Ainda uma app jovem (menos funcionalidades avançadas do que o Aegis). Nunca se fundirá com a app principal do Bitwarden (decisão deliberada da empresa para separação de riscos).
Utilizador-alvo: Utilizadores Bitwarden existentes. Pessoas que querem open source + sincronização multidispositivo sem atritos.
Google Authenticator
Lançada: 2010. Utilizadores: mais de 600 milhões. Plataforma: iOS + Android.
Evolução-chave de 2023: a Google adicionou a sincronização automática dos códigos TOTP com a conta Google (E2EE opcional desde abril de 2024). Antes de 2023, sem backup nativo - perder o telefone significava perder os códigos. Esta mudança resolveu o principal ponto fraco da app.
Pontos fortes: A app mais simples de usar. Integração nativa no ecossistema Google. Mais de 600 milhões de utilizadores = compatibilidade quase universal. Sincronização E2EE disponível.
Pontos fracos: Closed source. Dependência da conta Google. Exportação de códigos limitada (formato protobuf da Google, não TOTP padrão). Se perder a sua conta Google, perde os seus códigos TOTP.
Utilizador-alvo: Utilizadores mainstream. Utilizadores do ecossistema Google. Pessoas que não querem configurar nada.
Authy (Twilio)
Lançada: 2012. Adquirida pela Twilio em 2015. Plataforma: iOS + Android (desktop removido em agosto de 2024).
O que mudou: a Twilio descontinuou oficialmente as apps de desktop do Authy (Windows, macOS, Linux) em agosto de 2024, alegando a vontade de se focar no móvel. Os utilizadores de desktop perderam o acesso - um duro golpe para os power users. A app móvel mantém-se funcional.
Pontos fortes: Multidispositivo móvel maduro. Backup na nuvem cifrado em AES-256 com palavra-passe de backup separada. Interface limpa.
Pontos fracos: Closed source. Desktop removido. A Twilio é uma empresa de telecomunicações B2B, não uma empresa orientada à segurança. Histórico: fuga de números de telefone em 2022 (33 milhões de utilizadores). Não recomendado para novos utilizadores.
Utilizador-alvo: Utilizadores existentes que não querem migrar. Os novos utilizadores devem preferir o Aegis ou o Bitwarden Auth.
Microsoft Authenticator
Lançada: 2016. Plataforma: iOS + Android.
Pontos fortes: Integração nativa Azure AD / Microsoft 365. Notificações push para aprovação com 1 toque. Modo sem palavra-passe (iniciar sessão sem palavra-passe via notificação). Backup na nuvem ligado à conta Microsoft.
Pontos fracos: Closed source. Dependência da conta Microsoft. Interface mais pesada do que as alternativas. Exportação de códigos TOTP impossível (dados bloqueados no ecossistema Microsoft).
Utilizador-alvo: Empresas com Azure AD. Utilizadores do Microsoft 365. Contexto de MFA empresarial - veja o nosso guia de gestores de palavras-passe empresariais.
05 - Comparação de segurança: quem cifra o quê, como e onde
Risco #1: comprometimento da nuvem
Se o servidor na nuvem for comprometido, o que acontece?
- Aegis: zero risco de nuvem (sem nuvem). Cofre armazenado localmente, cifrado em AES-256 mesmo que copie manualmente o ficheiro para o Drive.
- Bitwarden Auth: a nuvem do Bitwarden armazena dados cifrados no lado do cliente. O Bitwarden concluiu uma auditoria Cure53 em 2023. Zero texto simples no lado do servidor.
- Google Auth: a Google armazena as suas seeds TOTP na sua conta Google com E2EE opcional. Se alguém aceder à sua conta Google → risco.
- Authy: servidores Twilio + palavra-passe de backup AES-256 separada. A chave de decifra nunca sai do seu dispositivo se a palavra-passe de backup for forte.
- Microsoft Auth: armazenamento na nuvem Microsoft. Se a sua conta Microsoft for comprometida → risco.
Risco #2: conta central roubada
O Google Authenticator e o Microsoft Authenticator criam um ponto único de falha: se a sua conta Google/Microsoft for comprometida, o atacante pode aceder aos seus códigos TOTP E ao seu email E aos seus outros serviços em simultâneo.
Regra de ouro: use uma app 2FA separada do seu fornecedor de email principal. Se usa o Gmail, não use o Google Authenticator para contas críticas.
Risco #3: exportação e portabilidade
Para a migração: Aegis (JSON cifrado, trivial) > Bitwarden Auth (exportação JSON) > Authy (difícil, sem exportação direta) > Microsoft Auth (impossível de forma nativa) > Google Auth (formato protobuf da Google, exige a app para digitalizar).
A portabilidade importa para a segurança a longo prazo: ficar preso a um ecossistema = risco de perder o acesso ao mudar de plataforma.
Risco n.º 4: a aplicação não é toda a defesa. Qualquer que seja a aplicação escolhida, um código TOTP pode ser retransmitido em tempo real por uma página de phishing, ou contornado por completo com um cookie de sessão roubado — nenhum dos dois se resolve escolhendo uma aplicação melhor. Como os atacantes contornam a MFA, e o que os trava descreve esses ataques e as definições que realmente os enfraquecem.
06 - Migração: do Authy (ou Google) para o Aegis, passo a passo
O Authy Desktop desapareceu em 2024 - se era utilizador de desktop, eis como migrar para o Aegis de forma limpa.
Pré-requisitos: Aegis instalado no Android + Authy no móvel.
Método 1: voltar a digitalizar os códigos QR (limpo mas lento)
- Para cada serviço, vá a Definições → Segurança → 2FA
- Desative a 2FA existente (introduza o código Authy para confirmar)
- Reative a 2FA - aparece um código QR
- Digitalize com o Aegis
- Confirme que o código do Aegis funciona
Método 2: via Authy Desktop (se ainda tiver acesso) A app Authy Desktop, antes da sua remoção, permitia a exportação das seeds através de um script da comunidade. Este método já não está disponível para novos utilizadores (desktop removido).
Migração Google Authenticator → Aegis (método oficial):
- Google Authenticator → Menu → Transferir contas → Exportar contas → Selecionar tudo
- Código QR de transferência gerado (formato protobuf da Google)
- Aegis → + → Digitalizar → Importar do Google Authenticator
- Digitalize o código QR com o Aegis
- Não elimine o Google Authenticator antes de testar o Aegis em 2-3 sites críticos
Após a migração: ative imediatamente o backup cifrado do Aegis (Definições → Backups → ative o backup automático + defina uma palavra-passe de backup forte).
07 - Recomendação por perfil de utilizador
Segurança máxima pretendida (Android) → Aegis. Cofre local cifrado, sem nuvem, open source, backups cifrados manuais. Configuração inicial ligeiramente mais complexa, mas zero compromissos na privacidade.
Já usa o Bitwarden → Bitwarden Authenticator. A integração é natural. Open source, sincronização E2EE. A nossa comparação Proton Pass vs Bitwarden pode ajudar a validar a escolha do seu gestor principal.
Utilizador mainstream, iOS ou Android → Google Authenticator. O mais fácil de configurar, sincronização E2EE disponível, mais de 600 milhões de utilizadores. Closed source mas aceitável para uso padrão.
Empresa com Azure AD / Microsoft 365 → Microsoft Authenticator. Notificações push, sem palavra-passe, integração nativa. Para o contexto de MFA empresarial, veja o nosso guia de gestores de palavras-passe empresariais.
Já usa o Authy e funciona → fique por agora, mas planeie uma migração para o Aegis ou o Bitwarden Auth a médio prazo. O ecossistema Authy estagnou desde a remoção do desktop.
08 - Mais duas opções open source: 2FAS e Ente Auth
Se quer open source mas o modelo do Aegis (apenas Android, offline em primeiro lugar) não lhe serve, há duas opções multiplataforma que vale a pena conhecer.
2FAS é uma app TOTP open source para iOS e Android. Mantém os segredos no dispositivo, oferece um backup cifrado opcional no seu próprio iCloud/Google Drive e inclui uma extensão de navegador que permite aprovar códigos a partir do computador sem voltar a sincronizar as seeds para um servidor. É uma escolha sólida se quer open source especificamente no iOS, onde o Aegis não está disponível.
Ente Auth é o autenticador open source da equipa por trás da app de fotos Ente. Acrescenta sincronização na nuvem cifrada de ponta a ponta entre dispositivos (iOS, Android, desktop e web) por cima do TOTP padrão, com importação a partir do Google Authenticator, Aegis e 2FAS. Adequa-se a quem quer a abertura ao estilo Aegis mais sincronização multidispositivo automática sem ligar as suas seeds a uma conta Google ou Microsoft.
Ambas são gratuitas e open source. Para uso offline apenas em Android, o Aegis continua à frente; para open source multiplataforma, o 2FAS (local + backup opcional) e o Ente Auth (sync E2EE) são os dois a comparar.
Lembrete-chave: a 2FA TOTP é uma camada de segurança por cima do seu gestor de palavras-passe. São complementares - uma palavra-passe forte e única + TOTP = proteção ótima.
Para as definições de TOTP, HOTP, 2FA, passkey e chave de hardware, veja o glossário de autenticação da PwdFortress.
A PwdFortress analisa apps de segurança de forma independente, com base na documentação pública e na análise de funcionalidades. Nenhuma app 2FA nesta comparação paga comissão. Os links internos para o Bitwarden referem-se à nossa parceria com o gestor de palavras-passe Bitwarden (um produto distinto).
Guias relacionados
- Chave de segurança vs aplicação de autenticação: o que o NIST diz de facto sobre phishing
- O que são os códigos de recuperação? A lista que passou à frente e onde devia ficar
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Um gestor com 2FA e passkeys integrados → NordPassGuarde TOTP e passkeys · XChaCha20 · plano gratuito→Perguntas frequentes
Qual é a melhor app de autenticação 2FA em 2026?
Para **máxima privacidade**: Aegis (Android, open source, cofre local AES-256, sem nuvem). Para **utilizadores mainstream iOS/Android**: Google Authenticator (sincronização E2EE com a conta Google, mais de 600 milhões de utilizadores). Para **utilizadores Bitwarden existentes**: Bitwarden Authenticator (sincronização nativa, o mesmo ecossistema). Para o **ecossistema Microsoft**: Microsoft Authenticator (notificações push, sem palavra-passe). O Authy continua funcional em dispositivos móveis, mas a Twilio removeu a app de desktop em 2024.
O que é o TOTP e em que difere da 2FA por SMS?
O **TOTP** (Time-based One-Time Password, RFC 6238) gera um código de 6 dígitos válido durante 30 segundos, calculado localmente a partir de uma chave secreta partilhada e do tempo Unix. Não é necessária ligação à internet para gerar o código. A **2FA por SMS** envia o código através do seu operador telefónico - vulnerável ao SIM-swapping (o atacante transfere o seu número para o operador dele). O TOTP é estatisticamente 10 vezes mais resistente do que o SMS ao phishing dirigido.
Aegis vs Google Authenticator: qual escolher?
**Aegis** se está no Android e a privacidade importa: cofre local cifrado em AES-256, backups cifrados manuais, sem nuvem, open source GPL3. **Google Authenticator** se quer simplicidade e está no ecossistema Google: sincronização E2EE automática com a sua conta Google desde 2023, iOS + Android, sem configuração de backup. Para utilizadores de iOS, o Aegis não está disponível - o Google Authenticator ou o Bitwarden Authenticator são as suas melhores opções.
O Authy ainda é recomendado em 2026?
O Authy continua funcional em 2026 no iOS e no Android, com sincronização na nuvem multidispositivo e cifra AES-256. **A mudança fundamental**: a Twilio removeu a app de desktop do Authy em agosto de 2024. O ecossistema móvel está intacto. No entanto, como o Authy é closed source e propriedade da Twilio (uma empresa de telecomunicações B2B, não orientada à segurança), preferimos o Aegis (Android) ou o Bitwarden Authenticator para os novos utilizadores.
Como migro do Google Authenticator para o Aegis?
1. No Google Authenticator, toque nos 3 pontos → **Transferir contas** → **Exportar contas**. 2. Aparece um código QR de transferência (formato protobuf da Google). 3. No Aegis → **+** → **Importar** → **Google Authenticator**. 4. Digitalize o código QR. 5. Os seus códigos TOTP são importados. **Atenção**: NÃO elimine o Google Authenticator antes de verificar que os códigos do Aegis funcionam em 2-3 sites.
As apps 2FA funcionam sem internet?
**Sim**. O TOTP é calculado localmente (chave secreta + tempo Unix). Nenhuma ligação necessária para gerar os códigos. A sincronização na nuvem (backup, multidispositivo) exige internet, mas **a geração de códigos funciona offline**. É uma grande vantagem face à 2FA por SMS, que depende da rede telefónica.
O que acontece se perder o telefone com a minha app 2FA?
**Sem backup**: perde o acesso a todas as contas protegidas por 2FA - terá de contactar o suporte de cada serviço (longo e penoso). **Com backup cifrado** (Aegis, Bitwarden Auth, Google Auth E2EE): restaura os seus códigos num novo telefone em minutos. **Regra de ouro**: configure o backup antes de ativar a 2FA nas contas críticas.
O Microsoft Authenticator pode substituir o Google Authenticator?
**Sim**, o Microsoft Authenticator suporta o TOTP padrão e pode importar contas do Google Authenticator através de códigos QR individuais. O seu ponto forte é a integração Microsoft (Azure AD, Office 365, sem palavra-passe via notificação push). Mas não é open source e o backup na nuvem está ligado à sua conta Microsoft. Para empresas com Azure AD: escolha natural. Para particulares sem um ecossistema MS: o Google Authenticator ou o Bitwarden Auth são mais simples.
Aegis vs Bitwarden Authenticator: qual escolher?
O **Aegis** é apenas para Android e offline por predefinição (cofre local AES-256, backups cifrados manuais, open source GPL3) - ideal para zero nuvem e controlo máximo. O **Bitwarden Authenticator** é multiplataforma (iOS + Android) e armazena as seeds TOTP cifradas de ponta a ponta, sincronizadas através da sua conta Bitwarden - ideal se já usa o Bitwarden e quer sincronização multidispositivo automática. Ambos são open source: escolha o Aegis para a privacidade offline só no Android, o Bitwarden Authenticator para a conveniência multidispositivo dentro de uma configuração Bitwarden existente.
Authy vs Bitwarden Authenticator: qual é melhor em 2026?
O **Bitwarden Authenticator** é open source, multiplataforma, com sincronização cifrada de ponta a ponta ligada a uma conta Bitwarden, e integra-se com o gestor de palavras-passe Bitwarden. O **Authy** é closed source, propriedade da Twilio, com sincronização na nuvem multidispositivo (AES-256) mas sem app de desktop desde agosto de 2024. Para novos utilizadores recomendamos o Bitwarden Authenticator: open source e um ecossistema ativo. O Authy ainda funciona se já depende dele, mas deixou de ser a nossa escolha predefinida.
Existe um autenticador open source no iOS, já que o Aegis é apenas para Android?
Sim. O **2FAS** é open source no iOS e Android, mantém os segredos no dispositivo e oferece um backup cifrado opcional no seu próprio iCloud/Google Drive. O **Ente Auth** também é open source e acrescenta sincronização multidispositivo cifrada de ponta a ponta (iOS, Android, desktop e web) com importação a partir do Google Authenticator e do Aegis. O **Bitwarden Authenticator** é outra opção open source no iOS com sync E2EE. No iOS, portanto, não está limitado a apps closed source - 2FAS, Ente Auth e Bitwarden Authenticator são todos open source.
