Três aplicações dominam a verificação em dois passos por código temporário (TOTP) em 2026: Google Authenticator, Microsoft Authenticator e Authy. Todas fazem, no fundo, a mesma coisa, gerar um código de seis dígitos que muda a cada 30 segundos. Mas param de ser intercambiáveis assim que se olha para backup na nuvem, suporte a passkeys ou histórico de incidentes de segurança. A app da Twilio sofreu uma fuga de dados que expôs 33,4 milhões de contas em 2024. A da Microsoft já guarda passkeys e está a tornar-se o método por defeito no Entra ID a partir de setembro de 2026. A da Google continua sem nenhuma das duas coisas, mas lidera em downloads. Este artigo compara as três em profundidade, com tabelas, preços de chaves físicas complementares, e um guia prático para quem quer mudar de app sem perder o acesso às contas.

O que são apps TOTP e porque ainda importam em 2026

TOTP significa Time-based One-Time Password, um código gerado a partir de um segredo partilhado entre o servidor e a app, combinado com a hora atual. O standard é aberto (RFC 6238) e funciona offline, sem depender de rede móvel ou SMS. É por isso que continua a ser recomendado acima do código por SMS, que pode ser interceptado através de um ataque de troca de SIM (SIM swap) ou de um esquema de phishing em tempo real.

O relatório de Defesa Digital 2025 da Microsoft mostra a escala do problema, os ataques baseados em identidade subiram 32% no primeiro semestre de 2025 face ao ano anterior, e mais de 97% desses ataques continuam a assentar em passwords, através de spray de credenciais ou força bruta. A Microsoft regista cerca de 600 milhões de ataques diários a identidades no Entra ID, o equivalente a quase 7.000 tentativas de password bloqueadas por segundo. Ainda assim, a mesma análise da Microsoft nota que autenticação resistente a phishing bloqueia mais de 99% desses ataques, mesmo quando o atacante já tem a password correta.

É aqui que entram as três apps deste artigo. Nenhuma delas é, tecnicamente, “resistente a phishing” no sentido estrito que o NIST SP 800-63B exige (esse selo pertence a passkeys e chaves físicas FIDO2, como explicamos mais à frente). Mas continuam a ser muito melhores do que SMS, e para a maioria dos utilizadores são o primeiro passo real de proteção depois da password. A pergunta que este artigo responde é qual das três escolher em 2026, e quando vale a pena substituir todas por uma passkey.

Google Authenticator: simplicidade acima de tudo

O Google Authenticator é provavelmente a app de 2FA mais instalada do mundo. Segundo dados da AppBrain, soma cerca de 230 milhões de downloads acumulados no Android até abril de 2025, com uma velocidade recente de aproximadamente 5,7 milhões de instalações por mês. É uma app minimalista de propósito único, abre-se, mostra os códigos, fecha-se.

Durante anos, essa simplicidade teve um preço, perder o telemóvel significava perder o acesso a todas as contas protegidas, salvo se o utilizador tivesse guardado códigos de recuperação manualmente. Isso mudou em abril de 2023, quando a Google lançou sincronização na nuvem a partir da versão 6.0 no Android e da versão 4.0 no iOS. Desde então, os códigos ficam associados à conta Google e sincronizam automaticamente entre dispositivos.

A funcionalidade resolveu o problema da perda de acesso, mas criou outro, se a conta Google for comprometida, o atacante herda também todos os segredos TOTP guardados nela. A PCWorld avisou logo no lançamento que vale a pena proteger bem a conta Google antes de ativar o backup, precisamente por essa razão. Adicionalmente, o Google Authenticator continua sem suporte a passkeys dentro da própria app, nem tem versão desktop ou extensão de browser oficial. É, no essencial, uma app móvel e apenas isso.

Microsoft Authenticator: já não é só TOTP

O Microsoft Authenticator cresceu para muito além de gerar códigos de seis dígitos. Guarda passwords, oferece autofill, faz backup de credenciais e, desde 2025, é a única das três apps deste artigo capaz de armazenar passkeys vinculadas ao dispositivo. Segundo a documentação do Entra ID, essas passkeys ficam presas ao telemóvel onde foram criadas (não sincronizam entre aparelhos como as da Apple ou Google), mas servem para iniciar sessão sem password em contas Microsoft Entra.

O empurrão institucional é claro. A partir de 1 de setembro de 2026, as passkeys tornam-se o método de autenticação por defeito no Entra ID, substituindo automaticamente utilizadores que hoje dependem de SMS ou chamada de voz. Antes disso, a Microsoft já tinha tornado obrigatória a MFA no centro de administração do Microsoft 365 a partir de 3 de fevereiro de 2025, alargando a exigência a mais serviços ao longo do ano. Na prática, quem trabalha num ambiente Microsoft 365 ou Entra ID vai encontrar cada vez mais barreiras para não usar esta app.

Nem tudo foi linear. Em março de 2024, a Microsoft corrigiu a CVE-2024-21390, uma vulnerabilidade de elevação de privilégio com pontuação 7,1 (alta) que permitia a uma app maliciosa com acesso local ao telemóvel ler ou apagar contas dentro do Authenticator. A falha foi corrigida na versão 6.2401.0617 e exigia que o dispositivo já estivesse comprometido por outro malware, não era explorável remotamente, mas é um lembrete de que “mais funcionalidades” também significa “mais superfície de ataque”.

Outra mudança relevante aconteceu em 2025, quando a Microsoft anunciou que os backups no iOS deixariam de depender de uma conta Microsoft e passariam a usar exclusivamente o iCloud Keychain, com encriptação ponto a ponto. A BleepingComputer confirmou que a transição ficou concluída no outono de 2025, o que elimina a dependência de uma conta Microsoft só para restaurar códigos num iPhone novo.

Authy: a app que perdeu o desktop e sofreu uma fuga de dados

O Authy, da Twilio, foi durante anos a escolha preferida de quem queria sincronização multi-dispositivo robusta, incluindo apps dedicadas para Windows, macOS e Linux. Essa vantagem desapareceu. A Twilio anunciou o fim de vida das apps de desktop a 19 de março de 2024, com encerramento definitivo em agosto do mesmo ano, forçando todos os utilizadores a migrar para a app móvel.

O golpe mais grave veio antes disso. Em julho de 2024, a Twilio confirmou que atacantes tinham acedido a dados de 33,4 milhões de contas Authy através de um endpoint de API que não exigia autenticação. Os dados expostos incluíam números de telefone, identificadores de conta e contagem de dispositivos associados, informação suficiente para alimentar campanhas de SMS phishing direcionadas contra utilizadores que se sabia terem 2FA ativa. O grupo ShinyHunters chegou a divulgar publicamente uma lista com os números de telefone recolhidos.

A Twilio nunca afirmou que os segredos TOTP em si tenham sido comprometidos, o endpoint exposto servia para verificar se um número de telefone estava associado a uma conta Authy, não para extrair códigos. Ainda assim, o incidente mudou a perceção sobre a app, que hoje sobrevive sobretudo por inércia de quem já a usava antes de 2024, sem ganhar terreno novo face às concorrentes.

Tabela comparativa: especificações lado a lado

A tabela seguinte resume as diferenças técnicas entre as três aplicações, com dados verificados em fontes oficiais e imprensa especializada durante 2025 e 2026.

CaracterísticaGoogle AuthenticatorMicrosoft AuthenticatorAuthy
EmpresaGoogleMicrosoftTwilio
Plataformas móveisAndroid, iOSAndroid, iOSAndroid, iOS
App de desktopNãoNãoDescontinuada em 2024
Extensão de browserNãoNãoNão
Backup na nuvemSim, desde abril de 2023 (conta Google)Sim (Microsoft e/ou iCloud Keychain no iOS)Sim, associado ao número de telefone
Sincronização multi-dispositivoSimSimSim (só mobile desde 2024)
Suporte a passkeysNãoSim, device-bound, exclusivo para Entra IDNão
Autofill de passwordsNãoSimNão
Bloqueio por PIN/biometria da appSimSimSim
PreçoGrátisGrátisGrátis
Downloads acumulados (Android)~230 milhõesNão divulgado publicamenteNão divulgado publicamente
Vulnerabilidade CVE conhecida (2024-2026)Nenhuma reportada nas fontes consultadasCVE-2024-21390 (corrigida)Fuga de dados em 2024 (33,4M contas)
Empurrão institucionalRecomendação secundária no Google WorkspaceMétodo por defeito no Entra ID a partir de set. 2026Nenhum, app legada

Segurança: TOTP continua vulnerável a phishing em tempo real

Aqui está o ponto que a maioria das comparações ignora, as três apps partilham a mesma limitação estrutural. Um código TOTP é digitado manualmente pelo utilizador, o que significa que um site de phishing pode simplesmente pedir o código e reencaminhá-lo em tempo real para o site legítimo antes que expire. O NIST classifica isto explicitamente, qualquer autenticador que dependa da introdução manual de um código “não deve ser considerado resistente a phishing”, precisamente porque essa introdução manual não liga o código à sessão específica que está a ser autenticada.

Passkeys e chaves físicas FIDO2 resolvem isto de forma diferente, através de um desafio criptográfico assinado pelo dispositivo e vinculado à origem exata do pedido (o domínio do site). Um site falso simplesmente não consegue reutilizar essa assinatura, porque foi gerada para um domínio diferente. É por isso que Google Authenticator, Microsoft Authenticator e Authy, apesar de todas as diferenças entre si, ficam todas do mesmo lado da linha quando comparadas com passkeys, cobrimos essa distinção com mais detalhe no nosso artigo dedicado a passkeys vs 2FA tradicional.

Isto não significa que TOTP seja inútil, está muito acima de não ter 2FA nenhuma, e continua a bloquear a esmagadora maioria dos ataques automatizados de credential stuffing e força bruta. O problema surge apenas contra phishing direcionado e sofisticado, onde um atacante monta uma página de login falsa em tempo real. Para esse cenário específico, só uma chave física ou uma passkey oferece proteção estrutural.

SIM swap: onde o SMS falha e o TOTP resiste

Vale a pena separar dois riscos que costumam ser confundidos. Um ataque de troca de SIM (SIM swap) rouba especificamente o número de telefone da vítima, o que compromete SMS OTP mas não afeta um código TOTP gerado localmente na app, já que este não depende da rede móvel. É por isso que os casos mais graves de roubo de criptomoedas por SIM swap, como o de um investidor canadiano que perdeu cerca de 37 milhões de dólares em Bitcoin, ou a queixa de confisco civil apresentada pelo Departamento de Justiça dos EUA em setembro de 2025 para recuperar mais de 5 milhões de dólares roubados através deste método, envolvem sempre contas protegidas apenas por SMS, nunca por app autenticadora.

O caso Authy: anatomia de uma fuga de 33,4 milhões de contas

O incidente de 2024 merece um olhar mais detalhado porque ilustra um risco que raramente aparece nas comparações técnicas, o risco da própria empresa por trás da app. A Twilio confirmou, através de um comunicado formal, que um endpoint de API sem autenticação permitia a qualquer pessoa submeter números de telefone em massa e verificar quais estavam associados a contas Authy. Não era preciso hackear nada sofisticado, bastava automatizar pedidos contra uma API mal configurada.

As consequências práticas para os utilizadores foram sobretudo um aumento no volume de SMS phishing direcionado, já que os atacantes passaram a saber exatamente quem usa 2FA e por isso vale a pena atacar com mais esforço. A Twilio corrigiu o endpoint e recomendou que todos os utilizadores ativassem PIN de proteção adicional dentro da app. Mas o dano reputacional já estava feito, e coincidiu com o anúncio do fim das apps de desktop poucos meses depois, o que levou boa parte da base de utilizadores mais técnica a migrar para Microsoft Authenticator ou para passkeys.

A lição para quem escolhe uma app de 2FA em 2026 é simples, a segurança do protocolo TOTP em si é sólida, mas a segurança da infraestrutura da empresa que gere o backup na nuvem importa tanto quanto o protocolo. Nenhuma das três apps é imune a um erro de configuração do lado do servidor.

Passkeys: a fronteira que só o Microsoft Authenticator já cruzou

O dado mais relevante para 2026 é a adoção de passkeys a nível global. Segundo o Passkey Index da FIDO Alliance, publicado em outubro de 2025 com dados de Amazon, Google, Microsoft, PayPal, Target e TikTok, entre outros, 93% das contas nessas plataformas já são elegíveis para passkeys, 36% têm pelo menos uma passkey ativa, e 26% de todos os logins já usam este método em vez de password. A atualização seguinte da FIDO, de maio de 2026, elevou a fasquia para 5 mil milhões de passkeys em uso globalmente, com 90% de consciência pública sobre o conceito e 75% dos utilizadores a terem ativado pelo menos uma.

Nenhuma destas três apps, exceto o Microsoft Authenticator, participa diretamente nesse movimento. O Google Authenticator continua a ser apenas um gerador de códigos TOTP, sem opção de guardar uma passkey, a Google trata passkeys separadamente através do gestor de passwords do Chrome e do Android. O Authy nunca anunciou qualquer suporte à tecnologia. Já o Microsoft Authenticator tornou-se, segundo a própria documentação da Microsoft, o único fornecedor de passkeys totalmente integrado no ecossistema Entra ID, com as passkeys guardadas localmente no dispositivo (device-bound) em vez de sincronizadas na nuvem como acontece com o iCloud Keychain ou o Gestor de Passwords Google.

Os números de impacto são os mais fortes argumentos a favor da mudança. O PayPal reportou uma redução de 70% em fraude de account takeover depois de implementar passkeys, além de um aumento de mais de 10% na taxa de sucesso de login face a passwords tradicionais. A rede CVS Health, por seu lado, atribui às passkeys uma redução de 98% na fraude de account takeover em contexto móvel, segundo dados publicados pela própria FIDO Alliance. Para quem gere uma equipa técnica, estes números pesam mais do que qualquer comparação de funcionalidades entre apps TOTP.

Backup e sincronização: o que acontece quando perde o telemóvel

O cenário mais comum de pânico com 2FA não é um ataque, é perder ou trocar de telemóvel sem ter preparado a recuperação. Aqui as três apps divergem de forma prática.

  • Google Authenticator: se o backup na nuvem estiver ativo, basta iniciar sessão na mesma conta Google num telemóvel novo e todos os códigos aparecem automaticamente. Não existe opção de restaurar uma cópia anterior específica, o sistema mantém sempre o estado mais recente.
  • Microsoft Authenticator: no Android, o backup usa a nuvem da Microsoft associada à conta pessoal. No iOS, desde 2025, o processo passou a depender inteiramente do iCloud Keychain, com encriptação ponto a ponto, eliminando a necessidade de sessão numa conta Microsoft só para recuperar códigos.
  • Authy: continua a oferecer backup encriptado ligado ao número de telefone, mas a recuperação de dispositivo novo passa sempre por confirmar esse número via SMS, o que reintroduz, de forma irónica, uma dependência da rede móvel que a própria app foi desenhada para evitar.

Na prática, isto significa que perder o telemóvel é hoje um problema resolúvel em minutos nas três apps, desde que o backup tenha sido ativado com antecedência. O erro mais comum continua a ser não o ativar, e só descobrir isso no pior momento possível.

Preços: as apps são grátis, mas as alternativas físicas não

Nenhuma das três aplicações cobra qualquer valor pelo uso normal. O modelo de negócio da Twilio assenta noutros serviços de comunicação empresarial, e tanto a Google como a Microsoft tratam a app como parte da proteção gratuita das respetivas contas. Ainda assim, para quem quer subir um degrau de segurança acima do TOTP, a alternativa mais comum é uma chave física FIDO2, que já não é grátis. A tabela seguinte resume os preços oficiais atuais.

ProdutoFabricantePreço oficialInterface
Google AuthenticatorGoogleGrátisApp móvel
Microsoft AuthenticatorMicrosoftGrátisApp móvel
AuthyTwilioGrátisApp móvel
Security Key C NFCYubico29 USDUSB-C + NFC
Google Titan (USB-A + NFC)Google30 USDUSB-A + NFC
Google Titan (USB-C + NFC)Google35 USDUSB-C + NFC
YubiKey 5 NFCYubico58 USDUSB-A + NFC
YubiKey 5C NFCYubico58 USDUSB-C + NFC
YubiKey 5CiYubico85 USDUSB-C + Lightning

Vale notar que o custo real de uma app “gratuita” nunca é zero para quem gere uma equipa, existe sempre um custo indireto em suporte técnico quando alguém perde o acesso, ou em tempo de resposta a incidentes como o da Twilio em 2024. Comparámos esse tipo de chave física com apps de software no nosso artigo sobre YubiKey vs apps autenticadoras, que detalha quando o investimento numa chave física compensa.

Dados-chave de adoção e segurança (2025-2026)

MétricaValorFonte
Passkeys em uso globalmente5 mil milhõesFIDO Alliance, maio 2026
Contas elegíveis para passkeys nas plataformas do Passkey Index93%FIDO Alliance, outubro 2025
Logins que já usam passkeys nessas plataformas26%FIDO Alliance, outubro 2025
Redução de account takeover no PayPal com passkeys70%Corbado / PayPal, 2025
Redução de fraude móvel de account takeover na CVS Health98%FIDO Alliance
Ataques de identidade baseados em password (Entra ID)Mais de 97%Microsoft Digital Defense Report 2025
Aumento de ataques de identidade (1S 2025 vs 1S 2024)32%Microsoft Digital Defense Report 2025
Contas Authy expostas na fuga de dados de 202433,4 milhõesTwilio, julho 2024
Downloads acumulados do Google Authenticator (Android)~230 milhõesAppBrain, abril 2025

Exemplos reais: quem está a mandar mudar de método

A teoria só se torna relevante quando se olha para decisões concretas tomadas por organizações reais nos últimos dois anos.

  • Microsoft 365 e Entra ID tornaram a MFA obrigatória no centro de administração a partir de 3 de fevereiro de 2025, alargando a exigência progressivamente até setembro do mesmo ano, com preferência declarada pelo Microsoft Authenticator como método de registo.
  • Google Workspace tornou a verificação em dois passos obrigatória para consolas de administração a partir de 12 de maio de 2025, recomendando o Google Prompt como método principal e o Google Authenticator como alternativa aceite.
  • PayPal passou a oferecer passkeys como método de login preferencial, reportando uma queda de 70% no account takeover face ao modelo anterior baseado em password mais SMS.
  • ABANCA, banco com operação em Portugal e Espanha, ultrapassou os 42% de clientes móveis a validar transações através de passkeys pela app Chave ABANCA, segundo dados divulgados pela FIDO Alliance no World Passkey Day de 2025.
  • Utilizadores da Authy tiveram de migrar em massa em 2024, primeiro por causa da fuga de dados de julho, depois pelo encerramento das apps de desktop em agosto, um dos casos mais claros de como a decisão de qual app usar pode deixar de estar nas mãos do utilizador.
  • Departamento de Justiça dos EUA apresentou, em setembro de 2025, uma queixa de confisco civil para recuperar mais de 5 milhões de dólares em Bitcoin roubados através de ataques de SIM swap, casos que envolviam sempre vítimas protegidas apenas por SMS e não por app autenticadora.

Qual escolher segundo o seu perfil

Não existe uma resposta única, mas os dados acima permitem recomendações objetivas consoante o contexto de uso.

  • Utilizador casual com poucas contas pessoais: o Google Authenticator continua a ser a opção mais simples, com backup fiável desde 2023 e sem funcionalidades extra a gerir.
  • Profissional num ambiente Microsoft 365 ou Entra ID: o Microsoft Authenticator já não é opcional na prática, e vale a pena aproveitar o suporte a passkeys em vez de continuar preso a TOTP.
  • Utilizador já familiarizado com Authy antes de 2024: não há motivo urgente para trocar se o PIN de proteção estiver ativo, mas qualquer conta nova deve ir para uma das outras duas apps.
  • Equipas técnicas que gerem infraestrutura crítica: nenhuma das três apps chega perto do nível de proteção de uma chave física FIDO2 contra phishing direcionado, vale a pena complementar com uma YubiKey ou Titan Security Key.
  • Pequenas empresas em Google Workspace: ativem o Google Prompt como método principal e reservem o Authenticator apenas como alternativa para quando o telefone está sem rede.
  • Quem foi afetado pela fuga da Twilio em 2024: além de migrar de app, vale a pena assumir que o número de telefone associado à conta antiga pode continuar a circular em bases de dados de phishing, e reforçar a vigilância sobre SMS suspeitos.

Guia de migração: trocar de app sem perder o acesso às contas

Migrar de uma app TOTP para outra é uma operação de risco quando feita às pressas, porque cada conta protegida tem de ser reconfigurada uma a uma. Este guia reduz esse risco a um processo ordenado.

  1. Fazer uma lista de todas as contas atualmente protegidas pela app antiga, revendo o histórico de notificações de login dos últimos meses para não esquecer nenhuma.
  2. Confirmar que a app nova está instalada e atualizada antes de desativar qualquer coisa na antiga.
  3. Gerar e guardar em local seguro os códigos de recuperação de cada serviço, normalmente disponíveis nas definições de segurança da conta.
  4. Para cada conta, entrar nas definições de segurança do serviço (não da app), remover o método TOTP antigo e adicionar um novo através do QR code gerado pela app nova.
  5. Testar imediatamente cada conta migrada com um login completo antes de passar à seguinte, para confirmar que o código gerado é aceite.
  6. Ativar o backup na nuvem da app nova assim que a migração da primeira conta for confirmada, para não repetir todo o processo em caso de perda do telemóvel a meio da transição.
  7. Manter a app antiga instalada, mas sem sessão iniciada, durante pelo menos duas semanas, como rede de segurança para contas esquecidas na lista inicial.
  8. Rever contas com autenticação por SMS que ainda não tenham 2FA por app, e aproveitar a migração para as atualizar também.
  9. Documentar, num gestor de passwords ou nota encriptada, qual app protege cada conta, para acelerar qualquer migração futura.

Para contas Microsoft Entra ID especificamente, a migração para passkeys segue um caminho diferente e mais simples, descrito com exemplos práticos no nosso guia de implementação de passkeys com WebAuthn.

Prós e contras de cada aplicação

Google Authenticator

  • Prós: interface minimalista, base instalada enorme (~230 milhões de downloads), backup na nuvem fiável desde 2023, sem incidentes de segurança públicos conhecidos.
  • Contras: sem passkeys, sem app desktop, sem autofill de passwords, funcionalidades congeladas há anos.

Microsoft Authenticator

  • Prós: único com suporte a passkeys, integração profunda com Entra ID, backup encriptado via iCloud Keychain no iOS, autofill de passwords incluído.
  • Contras: já teve uma vulnerabilidade de elevação de privilégio corrigida (CVE-2024-21390), interface mais carregada do que a concorrência, passkeys limitadas ao ecossistema Entra.

Authy

  • Prós: histórico de sincronização multi-dispositivo maduro, PIN de proteção adicional dentro da app, ainda funcional e mantida.
  • Contras: fuga de dados de 33,4 milhões de contas em 2024, fim das apps de desktop no mesmo ano, sem passkeys, sem sinais de investimento futuro por parte da Twilio.

Veredito: qual das três apps escolher em 2026

Se a pergunta é qual das três apps TOTP escolher hoje, a resposta depende do ecossistema em que já se está inserido. Quem vive dentro do Microsoft 365 ou do Entra ID ganha mais ao usar o Microsoft Authenticator, não só pelas funcionalidades extra mas porque a própria plataforma está a caminhar para tornar isso obrigatório a partir de setembro de 2026. Quem só precisa de proteger contas pessoais dispersas, sem exigências corporativas, continua bem servido pelo Google Authenticator, que faz uma coisa e faz bem. O Authy só faz sentido para quem já o usava antes de 2024 e não quer repetir o processo de migração, mas não é recomendável para novas contas depois do que aconteceu com a fuga de dados e o fim do desktop.

Mas o veredito mais importante é outro, os números da FIDO Alliance mostram que TOTP está a tornar-se a opção do meio, não a melhor. Com 5 mil milhões de passkeys já em uso e reduções de account takeover de 70% a 98% documentadas por empresas como PayPal e CVS Health, qualquer uma das três apps deste artigo deve ser vista como um degrau intermédio, útil hoje, mas com prazo de validade à medida que mais serviços oferecem passkeys como alternativa direta.

E em Portugal? Chave Móvel Digital, bancos e o hábito de usar SMS

O contexto português tem uma particularidade que raramente aparece nas comparações internacionais entre estas três apps, o Estado já opera o seu próprio sistema de autenticação forte há mais de uma década. A Chave Móvel Digital (CMD), gerida através do portal Autenticação.gov, permite iniciar sessão em serviços públicos e privados usando o Cartão de Cidadão ou um código temporário enviado por SMS, com a app Autenticação Gov a oferecer também validação biométrica no telemóvel como alternativa ao código por mensagem. É um sistema robusto, aceite em setores como banca, telecomunicações e saúde, mas assenta num modelo mais próximo do SMS OTP do que do TOTP usado pelas três apps deste artigo.

Do lado da banca, a ABANCA já opera em Portugal com a app Chave ABANCA, que usa explicitamente o termo “passkeys” na documentação de apoio ao cliente, recorrendo ao desbloqueio biométrico do telemóvel para validar transações sensíveis. É um sinal de que a adoção de autenticação resistente a phishing não está confinada às grandes tecnológicas americanas, chegou também a instituições financeiras com operação direta no mercado português. Ainda assim, a maioria dos bancos a operar em Portugal continua a depender de código por SMS ou de apps proprietárias fechadas, sem oferecer TOTP genérico compatível com Google Authenticator, Microsoft Authenticator ou Authy.

Para o utilizador português médio, a recomendação prática é simples, usar a CMD para serviços do Estado (Finanças, Segurança Social, Portal das Finanças) porque é o único método aceite nesses sistemas, mas adotar uma das três apps TOTP deste artigo para todas as contas pessoais que o permitam, email, redes sociais, serviços de cloud e plataformas de trabalho. Misturar os dois mundos não traz risco, mas depender só de SMS quando existe alternativa por app é deixar dinheiro de segurança em cima da mesa sem motivo.

Perguntas frequentes

O Google Authenticator vai receber suporte a passkeys?
Não há qualquer anúncio da Google nesse sentido até à data de publicação deste artigo. A empresa trata passkeys através do gestor de passwords do Chrome e do Android, mantendo o Authenticator como um gerador TOTP isolado.

É seguro continuar a usar o Authy depois da fuga de dados de 2024?
A Twilio corrigiu o endpoint de API exposto e os segredos TOTP não foram confirmados como comprometidos, apenas números de telefone e metadados de conta. Continuar a usar a app é seguro do ponto de vista técnico, mas ativar o PIN de proteção adicional é recomendado.

Posso usar Microsoft Authenticator para contas Google ou outras que não sejam Microsoft?
Sim, o Microsoft Authenticator gera códigos TOTP standard, compatíveis com qualquer serviço que suporte 2FA por app. Só o suporte a passkeys fica limitado ao Entra ID.

O que acontece se perder o telemóvel sem ter ativado o backup na nuvem?
Nas três apps, sem backup ativo, perde-se o acesso aos códigos TOTP guardados nesse dispositivo. A recuperação passa então pelos códigos de reserva gerados por cada serviço no momento da configuração inicial, ou por um processo de verificação de identidade manual junto do suporte do serviço.

Vale a pena comprar uma chave física em vez de usar uma destas apps?
Para contas de alto risco, como email principal ou carteiras de criptomoedas, sim. Uma chave FIDO2 como a YubiKey 5 NFC (58 USD) ou a Google Titan (a partir de 30 USD) oferece resistência real a phishing, algo que nenhuma app TOTP consegue garantir.

As passkeys substituem completamente a necessidade destas apps?
Ainda não, na maioria dos serviços. Passkeys estão disponíveis em 93% das contas nas plataformas que reportam ao Passkey Index da FIDO Alliance, mas isso deixa de fora uma fatia grande da internet que ainda depende só de password mais TOTP.

Qual destas apps é mais fácil de configurar pela primeira vez?
O Google Authenticator tem o processo mais direto, ler o QR code e o código aparece. O Microsoft Authenticator exige mais alguns ecrãs por causa das funcionalidades extra de passwords e passkeys.

É possível usar mais do que uma destas apps ao mesmo tempo?
Sim, tecnicamente não há limite. Cada conta protegida pode até ter métodos de recurso diferentes, mas gerir três apps em paralelo aumenta a complexidade sem benefício de segurança adicional.

O código TOTP funciona sem ligação à internet?
Sim, este é um dos pontos fortes do standard. O código é calculado localmente a partir de um segredo já guardado no telemóvel e da hora atual, sem qualquer pedido de rede. Basta que o relógio do dispositivo esteja correto, já que um desfasamento grande pode gerar códigos inválidos.

O que devo fazer se suspeitar que a minha conta Google, Microsoft ou Twilio foi comprometida?
Mudar a password de imediato, rever a lista de dispositivos com sessão iniciada e revogar qualquer sessão desconhecida, e só depois disso migrar os códigos TOTP para uma app nova associada a uma conta limpa. Fazer a migração antes de garantir que a conta principal está segura só transfere o problema para o destino.