L'autenticació en dos passos (2FA) ja no és un luxe opcional: és una higiene digital bàsica imprescindible. No obstant això, els usuaris s'enfronten a dilemes crucials: La sincronització al núvol obre una porta del darrere no supervisada? Podeu migrar fàcilment els vostres testimonis si canvieu d'iPhone a Android? Les aplicacions comercials de codi tancat recopilen telemetria sobre el vostre comportament? Combinar el 2FA dins d'un gestor de contrasenyes trenca el principi de defensa multifactor?
Amb la retirada de les aplicacions d'escriptori de Twilio Authy i les seves sonades fuites d'API, el panorama dels autenticadors s'ha transformat completament el 2026. Aquest informe detallat analitza les cinc aplicacions més determinants —Aegis, 2FAS, Bitwarden, Google Authenticator i Microsoft Authenticator— avaluant a fons els seus fonaments criptogràfics, la seguretat de les seves còpies de seguretat i la seva resistència enfront de diferents models d'amenaça.
01. L'era post-Authy el 2026: Lliçons apreses
Durant gairebé deu anys, Twilio Authy va ser l'opció recomanada de manera predeterminada per al públic general a causa de la seva sincronització multidispositiu. Tanmateix, l'evolució d'Authy ha deixat tres advertències greus per a la comunitat de seguretat:
- La trampa del bloqueig de proveïdor (Vendor Lock-in): Authy va impedir intencionadament que els usuaris poguessin exportar les claus secretes Base32 o les seves bases de dades en fitxers JSON, atrapant milions d'usuaris dins del seu entorn tancat;
- Retirada sobtada de l'aplicació d'escriptori: El 2024, Twilio va suspendre oficialment Authy per a Windows i macOS, deixant desemparats molts professionals que treballaven principalment des de l'ordinador;
- Vulnerabilitat de la sincronització centralitzada al núvol: Diverses intrusions a la infraestructura de Twilio van exposar números de telèfon i metadades dels testimonis, demostrant que la sincronització centralitzada en servidors aliens constitueix un focus d'atracció per als atacants.
02. Visió general dels 5 grans aspirants
El referent absolut per a la privacitat i seguretat a Android. Funciona amb aïllament absolut de la xarxa i sense cap telemetria, utilitza un xifratge sòlid AES-256-GCM per a la caixa de seguretat i permet còpies automatitzades mitjançant l'Android Storage Access Framework (SAF).
L'opció emergent de codi obert per excel·lència per a iOS i Android. No requereix la creació de comptes ni el registre de números de telèfon, ofereix còpies al núvol (iCloud i Google Drive) xifrades d'extrem a extrem al propi dispositiu i compta amb una pràctica extensió per a navegadors d'escriptori.
Gestor unificat de contrasenyes i generador de codis TOTP. Proporciona emplenament automàtic immediat i fluid a totes les plataformes mòbils i d'escriptori, amb suport integral per a autoallotjament mitjançant Vaultwarden.
L'aplicació pionera i més utilitzada a tot el món. Incorpora sincronització al núvol amb el compte de Google i una interfície senzilla, però manca d'opcions avançades de classificació, de bloqueig biomètric mestre i de garanties de codi obert auditable.
Imprescindible per a entorns empresarials basats en Microsoft 365 i Microsoft Entra ID (Azure AD). Incorpora la coincidència de números per impedir la fatiga de MFA, però té un sistema de còpies de seguretat aïllat i incompatible entre sistemes operatius diferents.
03. Matriu de comparativa mestra de 12 dimensions
El nostre laboratori d'investigació ha avaluat els cinc aspirants seguint dotze criteris tècnics i funcionals:
| Dimensió d'avaluació | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Llicència de programari | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Propietari tancat | Propietari tancat |
| Plataformes admeses | Només Android | iOS / Android / Extensions | Universal (Web/Escriptori/Mòbil) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Arquitectura al núvol | Cap (100% fora de línia) | E2EE via iCloud/GDrive | Sincronització de coneixement zero | Sincronització compte Google | Còpia al compte Microsoft |
| Exportació local xifrada | Exportació total AES-GCM / JSON | Fitxer natiu xifrat .2fas | Exportació JSON xifrada | Només codi QR de transferència | Cap (Completament bloquejat) |
| Bloqueig mestre biomètric | Biometria + Clau de caixa | Face ID / Empremta / PIN | Biometria + Clau mestra | Només pantalla de bloqueig | Només pantalla de bloqueig |
| Protecció de captures | Forçada (FLAG_SECURE) | Forçada per defecte | Commutador configurable | Admesa | Admesa |
| Integració amb escriptori | Cap (Escriptura manual) | Notificació push d'extensió | Emplenament instantani al navegador | Transcripció manual des del mòbil | Transcripció manual des del mòbil |
| Portabilitat de migració | Excel·lent (JSON universal) | Excel·lent (Importa de tot) | Alta (JSON estàndard) | Moderada (Lectura de QR) | Hostil (Sense migració entre SO) |
| Model de preus | 100% gratuït per sempre | 100% gratuït per sempre | Bàsic de franc; TOTP per 10 $/any | Gratuït | Gratuït |
04. Anàlisi tècnica a fons i arquitectura de les aplicacions
1. Aegis Authenticator: La fortalesa sobirana de seguretat per a Android
Aegis és àmpliament reconeguda entre els especialistes en seguretat per la seva impecable concepció criptogràfica. La clau de la caixa de seguretat es deriva mitjançant Argon2id (l'algorisme guanyador de memòria intensiva del Password Hashing Competition) i es protegeix mitjançant AES-256 en mode GCM. Fins i tot si un atacant obté una còpia de la memòria del telèfon mitjançant extracció física, desxifrar la contrasenya de la caixa per força bruta és computacionalment inviable.
• Zero permisos d'Internet al manifest d'Android;
• Còpies de seguretat xifrades periòdiques a emmagatzematge local o Nextcloud;
• Paquets d'icones complets, etiquetes personalitzades i cerca àgil.
• Exclusiu per a Android (no té versió per a iOS ni escriptori);
• Requereix gestionar manualment el destí de les còpies de seguretat al núvol.
2. 2FAS Authenticator: El referent universal multiplataforma
2FAS combina l'exigència de la màxima seguretat amb la facilitat d'ús per al gran públic. L'aplicació no demana creació de compte d'usuari ni número de telèfon. Les còpies de seguretat al núvol aprofiten els serveis natius d'iCloud o Google Drive, xifrats al propi dispositiu amb una contrasenya mestra abans de sortir-ne.
• Disseny homogeni i molt cuidat tant a iOS com a Android;
• Innovadora extensió de navegador 2FAS: envia una notificació al telèfon per emplenar codis al PC;
• Importació directa des de Google, Authy i Aegis.
• La sincronització al núvol opera en sitges independents segons el sistema operatiu (no hi ha sincronització directa en viu entre un iPhone i un telèfon Android sense exportació manual de fitxer).
3. Bitwarden (Premium): Màxima productivitat i el dilema del MFA
El mòdul TOTP de Bitwarden és insuperable pel que fa a comoditat. En enviar les credencials en una pàgina web, Bitwarden copia automàticament el codi TOTP actiu de 6 dígits al vostre porta-retalls o emplena directament la casella de verificació en iniciar la sessió.
Emmagatzemar el primer factor (contrasenya) i el segon factor (clau TOTP) dins de la mateixa base de dades infringeix el principi clàssic de separació de factors. Si la vostra contrasenya mestra és descoberta sense una clau física de seguretat com a barrera, l'atacant adquireix tots dos factors d'un sol cop. Mesura pragmàtica de protecció: Blindar la caixa de Bitwarden amb una clau física YubiKey FIDO2.
4. Google Authenticator: El gegant omnipresent
La incorporació de la sincronització al núvol amb el compte de Google va resoldre la pèrdua traumàtica de dades que es produïa en extraviar el mòbil. Malgrat tot, continua sent una eina propietària de codi tancat. A més, si el vostre compte principal de Google és objecte de suspensió, bloqueig o accés no autoritzat, recuperar les vostres claus TOTP pot ser extremadament feixuc.
5. Microsoft Authenticator: Bastió corporatiu amb barreres entre plataformes
En ecosistemes de treball corporatius basats en Microsoft 365 i Entra ID, Microsoft Authenticator és pràcticament indispensable. La seva funció de «Coincidència de números» obliga l'usuari a introduir al mòbil el nombre de dues xifres que veu a la pantalla d'inici, neutralitzant els atacs per fatiga de MFA. Amb tot, el seu model de còpies per a usuaris particulars està trencat: les còpies a iOS es guarden a l'iCloud personal, mentre que a Android van al compte personal de Microsoft. No hi ha manera de restaurar una còpia d'iOS en un terminal Android, ni a la inversa!
05. Arquetips d'usuari i veredictes personalitzats
Trieu: Aegis Authenticator. Seguretat criptogràfica d'elit, funcionament sense connexió a Internet, codi obert transparent i còpies de seguretat locals programables.
Trieu: 2FAS Authenticator. Disseny modern de codi obert, comunicació fluida amb el navegador d'escriptori i còpies al núvol privades xifrades al client.
Trieu: Bitwarden (Premium). Per només 10 $/any, disposareu d'emplenament automàtic universal a tots els navegadors i col·leccions compartides per a la vostra organització.
Trieu: Microsoft Authenticator (Només per a comptes de feina). Obligatori per a entorns professionals, però deseu els codis personals de banca i cripto a 2FAS o Aegis.
05.1 Dispositius corporals i compliment: Model d'amenaces entre Apple Watch i Wear OS
Per a usuaris en mobilitat, autenticar-se des del canell mitjançant rellotges intel·ligents suposa un gran avenç en comoditat. Tanmateix, consultar codis dinàmics o aprovar sol·licituds push des d'un smartwatch altera el perfil de risc operatiu:
Apple requereix comprovació biomètrica de presència al canell: en treure's el rellotge, aquest es bloqueja de manera immediata mitjançant codi PIN. Connectant-se per Bluetooth LE xifrat amb el Secure Enclave de l'iPhone, aplicacions com 2FAS i Microsoft Authenticator permeten validacions d'un sol toc. El risc fonamental és l'observació indiscreta («shoulder surfing») al transport públic, atès que el codi de 6 dígits es mostra de manera visible en una pantalla sense protecció física.
Els dispositius amb Wear OS mantenen els seus ginys sincronitzats amb Google Play Services. Encara que és molt còmode durant la jornada laboral, els codis continuen accessibles mentre el rellotge estigui desbloquejat. En entorns de màxima confidencialitat o operacions de custòdia de criptomonedes, la recomanació és inhabilitar la sincronització amb el rellotge per evitar l'espiat per proximitat física.
D'acord amb les directrius del NIST SP 800-63B, els autenticadors TOTP basats en programari (com Aegis i 2FAS) assoleixen els criteris del Nivell de Garantia d'Autenticador 2 (AAL2) quan es troben protegits per biometria del dispositiu o contrasenya mestra. Per a entorns auditats segons SOC 2 Tipus II o ISO 27001, plataformes com Bitwarden o 2FAS faciliten esquemes de derivació de claus xifrades que satisfan els requeriments de conformitat sense dependre d'operadores telefòniques.
06. La guia 3-2-1 de còpies de seguretat i migració de 2FA
Sense importar quina aplicació acabeu escollint, la vostra estratègia de recuperació ha de resistir la pèrdua de maquinari, robatoris o bloquejos de comptes. Adopteu el principi 3-2-1 per a la protecció del vostre 2FA:
La base de dades activa al vostre telèfon principal, un fitxer d'exportació xifrat i una còpia de reserva fora de l'entorn de treball diari.
Un suport digital xifrat (com un llapis USB amb VeraCrypt o emmagatzematge E2EE al núvol) i un suport físic (paper o xapa d'acer).
Deseu els vostres codis mestres de recuperació en una caixa forta ignífuga o en un dipòsit de seguretat separat.
07. Preguntes freqüents (FAQ)
P1: Per què determinades aplicacions 2FA bloquegen les captures de pantalla a Android? ▼
Aplicacions com Aegis activen l'atribut FLAG_SECURE del sistema operatiu Android. Aquesta mesura impedeix que troians espia, aplicacions malicioses o serveis d'accessibilitat fraudulents capturin imatges o enregistrin la pantalla mentre es mostren les claus secretes o els codis a l'usuari.
P2: Cal tenir dades mòbils o Wi-Fi per generar codis d'autenticació? ▼
No. Els codis TOTP basats en l'RFC 6238 es calculen de manera autònoma al dispositiu aprofitant els cicles del xip intern. Els únics paràmetres utilitzats són l'hora del sistema i la clau secreta Base32 prèviament establerta. Les aplicacions d'autenticació operen correctament en mode avió i sense connexió a la xarxa.
P3: Es pot escanejar el mateix codi QR de 2FA en dos telèfons diferents? ▼
I tant que sí! Quan el servei web us mostri el codi QR de registre, escanegeu-lo de forma simultània amb el vostre mòbil principal i amb un dispositiu de reserva. Ambdós generaran exactament els mateixos codis de 6 xifres al mateix temps, disposant així d'una alternativa de maquinari immediata en cas d'incident.
P4: Com puc traslladar els comptes de Google Authenticator a 2FAS o Aegis? ▼
A Google Authenticator, desplegueu el menú d'opcions i seleccioneu «Transfereix comptes» -> «Exporta comptes». L'aplicació generarà un codi QR d'exportació. A 2FAS o Aegis, aneu a «Importa» -> «Google Authenticator» i escanegeu aquest codi QR per incorporar tots els vostres accessos en pocs segons.
Genereu i verifiqueu codis 2FA directament al vostre navegador
Necessiteu calcular un codi d'autenticació o comprovar la precisió d'una clau secreta sense instal·lar cap aplicació addicional? 2FA-Tool executa l'algorisme RFC 6238 en la memòria del vostre navegador.