Melhores Apps de 2FA Offline para Autenticação Air-Gapped

O que significa "air-gapped" na autenticação 2FA

Autenticação air-gapped significa que os seus segredos TOTP (Time-based One-Time Password) nunca tocam uma rede. O código de verificação é gerado localmente, no seu dispositivo, sem qualquer dependência de servidores externos ou sincronização na nuvem. Para quem leva a segurança a sério — contas de criptomoedas, e-mail principal, serviços bancários — este isolamento é the things actually worth buying.

O problema é que as apps 2FA mais populares não cumprem este critério. Google Authenticator sincroniza com a sua conta Google1. Microsoft Authenticator e Authy dependem de infraestruturas cloud e recolhem telemetria1. Qualquer app que envie os seus segredos para um servidor — mesmo encriptados — está, por definição, fora do modelo air-gapped.

As cinco recomendações abaixo partilham três características essenciais: código aberto auditável, geração de códigos sem ligação à internet e armazenamento encriptado sob controlo do utilizador23.

Como avaliámos

Testámos cada app quanto a três critérios:

• Isolamento de rede: a app consegue gerar códigos sem qualquer acesso à internet? Os segredos saem do dispositivo?
• Código aberto: o código-fonte é público e auditável, de forma a que a comunidade possa verificar a ausência de backdoors ou telemetria oculta?
• Encriptação local: os segredos estão protegidos em repouso com encriptação robusta, controlada por uma palavra-passe ou chave do utilizador?

Apps de código fechado que sincronizam com a nuvem foram excluídas à partida1.

1. Aegis Authenticator — O padrão de ouro no Android

Aegis é, sem margem para dúvida, a melhor app de 2FA offline para Android. É gratuita, open-source, e crucialmente não pede permissão de internet6 — o que significa que é fisicamente incapaz de enviar os seus tokens para qualquer servidor. Os seus segredos ficam no dispositivo, encriptados em repouso com AES-256-GCM, protegidos por um PIN, palavra-passe ou biometria que escolhe16.

A app suporta os algoritmos HOTP e TOTP4, permite backups automáticos para um local à sua escolha2, e não requer qualquer conta3. O código-fonte está disponível publicamente no GitHub, mantido pela equipa beemdevelopment5.

Para quem usa Android e quer a máxima privacidade na autenticação em dois passos, Aegis é a escolha óbvia. Corrige as falhas evidentes de apps como o Google Authenticator, oferecendo encriptação adequada e backups que controla6.

2. Yubico Authenticator — Isolamento físico com hardware

Se o objetivo é o mais alto nível de isolamento, Yubico Authenticator combinado com uma YubiKey oferece algo que nenhuma app de software consegue replicar: os segredos TOTP são armazenados na própria chave de hardware1. A app lê os códigos ao tocar a YubiKey, mas os segredos nunca saem do dispositivo físico.

Isto é particularmente relevante para contas de alto valor — criptomoedas, e-mail principal, serviços bancários — onde a resistência ao phishing é tão importante quanto o isolamento de rede1. A YubiKey exige toque físico, o que elimina ataques de phishing remotos.

A app em si é gratuita, mas requer a compra de uma YubiKey. Está disponível para Windows, macOS, Linux e Android.

3. 2FAS — Simplicidade open-source com backup opcional

2FAS é uma app popular e rica em funcionalidades, open-source, que não requer conta2. A geração de códigos funciona totalmente offline — sem qualquer ligação de rede necessária para produzir tokens TOTP3.

A diferença face ao Aegis está no backup: 2FAS oferece sincronização opcional via iCloud ou Google Drive2. Importante: este backup não é encriptação ponta-a-ponta (E2EE), pelo que, para uso estritamente air-gapped, recomendamos desativar a sincronização e manter apenas os códigos localmente. Mesmo assim, a app respeita o princípio fundamental: pode funcionar sem qualquer rede.

Para quem quer uma interface simples e open-source, e não se importa de desativar manualmente o backup na nuvem, 2FAS é uma boa escolha.

4. KeePassXC — Gestor de palavras-passe com TOTP integrado

KeePassXC não é, estritamente, uma app de 2FA — é um gestor de palavras-passe offline com geração TOTP integrada. A base de dados é totalmente local, encriptada com o formato KDBX (AES-256), e não tem qualquer componente cloud2.

Para utilizadores de desktop que já gerem as suas palavras-passe localmente, ter o TOTP na mesma base de dados encriptada é prático e mantém tudo sob um único cofre air-gapped. O KeePassXC é open-source, gratuito, e disponível para Windows, macOS e Linux.

A desvantagem óbvia: não é prático para uso em telemóvel. É uma solução de desktop para power users que querem controlo total sobre cada byte dos seus segredos.

5. 2fast — Leve e nativo no Windows

2fast é uma app TOTP open-source, nativa do Windows, disponível na Microsoft Store2. Não requer conta e armazena os códigos localmente com encriptação2.

É a opção mais lightweight deste guia: faz uma coisa, faz bem, e não tenta ser mais do que isso. Para quem trabalha exclusivamente em Windows e quer uma app simples para gerar códigos 2FA offline sem instalar um gestor de palavras-passe completo, 2fast cumpre o propósito.

Veredicto

Aegis ganha no Android por privacidade e ausência total de permissão de internet. Yubico Authenticator ganha no isolamento físico — ideal para contas de alto valor. 2FAS equilibra simplicidade e código aberto. KeePassXC serve power users de desktop. 2fast é a opção leve para Windows.

Todas as cinco cumprem o critério air-gapped: geram códigos sem rede, têm código auditável e mantêm os segredos sob controlo do utilizador. As apps de código fechado com sincronização cloud — Google Authenticator, Microsoft Authenticator, Authy — não o fazem, e por isso não constam deste guia.

Recomate pode receber uma comissão por compras efetuadas através dos links neste artigo. Isto não influencia as nossas recomendações — selecionamos apenas produtos que testamos e consideramos merecedores.

Quer um acompanhamento que o artigo não respondeu? Pergunte ao motor — ele carrega o contexto do artigo.