> totp | authenticator | generator <
Genera password monouso basate sul tempo (TOTP) o su un contatore (HOTP) da un segreto Base32. Prova configurazioni 2FA, individua discrepanze dell'autenticatore e crea URI otpauth:// – tutto in locale nel browser.
I segreti non lasciano mai il tuo browser. Evita comunque di incollare segreti di produzione reali su computer condivisi.
URI OTPAUTH
Serve un QR code per un'app di autenticazione? Incolla la URI nel Generatore di QR code
Codici in tempo reale con conto alla rovescia
Incolla un segreto Base32 e ottieni il codice attuale e il successivo, rinnovati a ogni periodo, con una barra di avanzamento fino alla scadenza.
SHA-1, SHA-256, SHA-512
Scegli 6, 7 o 8 cifre e qualsiasi periodo. L'HMAC usa la Web Crypto API e coincide con i vettori di test delle RFC 4226 e 6238.
Creatore e importatore di URI otpauth
Crea URI otpauth:// per le app di autenticazione o importane una esistente per compilare automaticamente tutti i campi. Nulla viene caricato.
>> informazioni tecniche
Come funzionano le password monouso:
HOTP (RFC 4226) calcola HMAC(segreto, contatore) e tronca il risultato a 6-8 cifre. TOTP (RFC 6238) è un HOTP il cui contatore è il tempo Unix diviso per il periodo (di solito 30 secondi): il codice cambia a ogni periodo e le due parti concordano senza comunicare. Il segreto condiviso viene di norma scambiato come testo Base32 o come QR code contenente una URI otpauth://.
Esempio:
RFC 6238 test vector (SHA-1) secret = GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ time = 59 -> counter = 59 / 30 = 1 code (8 digits) = 94287082
Perché usare questo generatore TOTP:
- >Provare ed effettuare il debug dell'autenticazione a due fattori mentre sviluppi un login
- >Capire perché un'app di autenticazione e un server non concordano sul codice
- >Creare URI otpauth:// con emittente, algoritmo, cifre e periodo corretti
- >Verificare i codici con timestamp fissi tramite il campo del tempo Unix
>> domande frequenti
D: Come funziona il TOTP?
R: La tua app e il server condividono un segreto. Entrambi calcolano l'HMAC del segreto e dell'intervallo di tempo corrente (tempo Unix diviso per il periodo, 30 secondi di default) e lo troncano a un codice di 6 cifre. Se i due orologi concordano, il codice è lo stesso.
D: È sicuro inserire qui il mio segreto?
R: Il calcolo avviene interamente nel browser con la Web Crypto API e nulla viene inviato a un server. Un segreto TOTP resta però la chiave del tuo account: non incollare segreti di produzione reali su computer condivisi o non affidabili e usa account di prova per il debug.
D: Perché il mio codice non corrisponde a quello dell'app?
R: Le cause più comuni sono un orologio sbagliato (il TOTP richiede un'ora precisa a pochi secondi), algoritmo, numero di cifre o periodo diversi, oppure un segreto copiato con un errore. Controlla che siano selezionati SHA-1, 6 cifre e 30 secondi, quanto usano quasi tutti i servizi.
D: Qual è la differenza tra TOTP e HOTP?
R: L'HOTP usa un contatore che avanza solo quando un codice viene usato, quindi un codice resta valido finché non viene consumato. Il TOTP ricava il contatore dall'orologio, perciò i codici scadono automaticamente a ogni periodo. Il TOTP è molto più diffuso nella 2FA consumer.
D: Che cos'è una URI otpauth://?
R: È il testo contenuto nel QR code che scansioni quando attivi la 2FA, ad esempio otpauth://totp/Example:user@example.com?secret=...&issuer=Example. Contiene segreto, emittente, account e, facoltativamente, algoritmo, cifre e periodo. Incollala nella casella di importazione per estrarre il segreto.
D: Quali impostazioni supportano le app di autenticazione?
R: Google Authenticator e molte altre app ignorano i parametri di algoritmo, cifre e periodo e usano sempre SHA-1, 6 cifre e 30 secondi. Usa questi valori predefiniti a meno che tu non sappia che app e server ne supportano altri.