Las mejores apps 2FA offline para autenticación air-gapped

La autenticación en dos factores se ha vuelto rutina, pero la mayoría de apps populares —Google Authenticator, Microsoft Authenticator, Authy— envían tus secretos TOTP a servidores externos o recopilan telemetría2. Si tu modelo de amenaza exige que el segundo factor nunca toque la nube, necesitas algo distinto: apps de código abierto que funcionen 100% offline, sin permisos de internet, o hardware tokens dedicados.

Qué significa "air-gapped" en 2FA

La autenticación air-gapped exige cero dependencia de internet. Según LoginTC, "la autenticación air-gapped real se basa en hardware tokens dedicados sin conectividad de red", aunque las apps TOTP que funcionan completamente offline también son válidas3. Lo que no funciona: notificaciones push, SMS y llamadas de voz, todas requieren red3.

Privacy Guides establece criterios claros: el código fuente debe ser público, la app no debe requerir conectividad de internet, y cualquier sincronización en la nube debe ser opcional y cifrada de extremo a extremo (E2EE)1.

Nuestras picks

1. Aegis Authenticator — El estándar de oro en Android

Aegis es, sin discusión, la app 2FA más estricta para privacidad pura en Android. Es de código abierto (GPL v3), no requiere cuenta, no tiene nube y no solicita permisos de internet4. Los permisos que pide son cámara, biometría y vibración —nada más4. La bóveda se cifra con AES-256-GCM2, y los secretos TOTP/HOTP nunca abandonan el dispositivo6.

Privacy Guides la recomienda como una app que "opera completamente offline y a nivel local"1, y State of Surveillance la describe como "open-source, sin nube, sin cuenta, sin telemetría"2. En F-Droid, la versión 3.4.2 se publicó en febrero de 20264.

Veredicto: Si usas Android y quieres el máximo aislamiento, Aegis no tiene rival.

2. Ente Auth — Offline cuando lo necesitas, sync cuando lo quieres

Ente Auth resuelve el dilema clásico: ¿cómo tener respaldo sin comprometer el aislamiento? La respuesta es un modo offline documentado oficialmente: eliges "Usar sin copias de seguridad" y los códigos se almacenan solo en el dispositivo, cifrados con una clave protegida por el almacenamiento seguro del dispositivo5. La generación de códigos funciona sin internet5.

Cuando sí quieres respaldo, la sincronización es E2EE y multiplataforma (Android, iOS, Windows, Mac, Linux, web)2. Ente fue auditado por Cure53 en octubre de 20251.

Veredicto: El mejor equilibrio entre aislamiento offline y respaldo cifrado multiplataforma.

3. 2FAS — Simple, open-source, sin cuenta

2FAS es la opción más sencilla del grupo. Sin cuenta, código abierto, y con extensiones de navegador2. Funciona offline para generar códigos, aunque su respaldo en iCloud/Google Drive no es E2E2. Para usuarios de iOS que valoran la simplicidad por encima del cifrado de respaldo, es la elección natural.

Veredicto: La app 2FA open-source más fácil de usar, ideal para iOS.

4. YubiKey + Yubico Authenticator — Seguridad en hardware

Aquí el enfoque cambia: los secretos TOTP no viven en el teléfono, sino en la llave hardware YubiKey. Yubico Authenticator lee los códigos desde el token, que no tiene conectividad de red. Es la opción compatible con redes air-gapped estrictas donde un smartphone violaría el aislamiento3, y es resistente a phishing de forma nativa.

Veredicto: Máxima seguridad para cuentas críticas (crypto, banca, email). El teléfono es solo un lector.

5. 2FAuth — Self-hosted para control total

2FAuth es una alternativa self-hosted (Docker) que funciona offline una vez instalada. Ideal para entornos air-gapped donde se quiere control total del servidor y validación local sin dependencias externas. Soporta TOTP/HOTP y cifrado de datos.

Veredicto: Para quienes administran su propia infraestructura y no confían en apps de terceros.

Comparación rápida

Cómo elegir

• Privacidad máxima en Android: Aegis. Sin permisos de internet, sin cuenta, cifrado AES-256-GCM.
• Offline + respaldo multiplataforma: Ente Auth. Modo offline sin cuenta + sync E2E opcional.
• Simplicidad en iOS: 2FAS. Sin cuenta, interfaz limpia, extensiones de navegador.
• Cuentas críticas / air-gapped estricto: YubiKey + Yubico Authenticator. Hardware, sin teléfono, resistente a phishing.
• Control total del servidor: 2FAuth. Self-hosted, offline tras instalar.

Recomate puede recibir una comisión por las compras realizadas a través de los enlaces de este artículo. Esto no afecta nuestras valoraciones.

¿Quieres una aclaración que el artículo no respondió? Pregunta al motor — lleva el contexto del artículo.