> totp | authenticator | generator <
Genereer tijdgebaseerde (TOTP) en tellergebaseerde (HOTP) eenmalige wachtwoorden uit een Base32-geheim. Test 2FA-instellingen, zoek verschillen met authenticator-apps en maak otpauth://-URI's – alles lokaal in je browser.
Geheimen verlaten je browser nooit. Plak toch geen echte productiegeheimen op gedeelde computers.
OTPAUTH-URI
QR-code nodig voor een authenticator-app? Plak de URI in de QR-codegenerator
Live codes met aftelling
Plak een Base32-geheim en zie de huidige en volgende code, elke periode vernieuwd, met een voortgangsbalk tot het verloopt.
SHA-1, SHA-256, SHA-512
Kies 6, 7 of 8 cijfers en elke periode. HMAC loopt via de Web Crypto API en komt overeen met de testvectoren van RFC 4226 en RFC 6238.
otpauth-URI-bouwer en -import
Maak otpauth://-URI's voor authenticator-apps of importeer een bestaande om alle velden automatisch te vullen. Er wordt niets geüpload.
>> technische info
Hoe eenmalige wachtwoorden werken:
HOTP (RFC 4226) berekent HMAC(geheim, teller) en kapt het resultaat af tot 6-8 cijfers. TOTP (RFC 6238) is HOTP waarbij de teller de Unix-tijd gedeeld door de periode is (meestal 30 seconden), zodat de code elke periode verandert en beide kanten het eens zijn zonder te communiceren. Het gedeelde geheim wordt meestal uitgewisseld als Base32-tekst of als QR-code met een otpauth://-URI.
Voorbeeld:
RFC 6238 test vector (SHA-1) secret = GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ time = 59 -> counter = 59 / 30 = 1 code (8 digits) = 94287082
Waarom deze TOTP-generator gebruiken:
- >Tweefactorauthenticatie testen en debuggen tijdens het ontwikkelen van een login
- >Uitzoeken waarom een authenticator-app en een server de code anders berekenen
- >otpauth://-URI's maken met de juiste uitgever, algoritme, cijfers en periode
- >Codes controleren op vaste tijdstempels via het Unix-tijdveld
>> veelgestelde vragen
V: Hoe werkt TOTP?
A: Je app en de server delen een geheim. Beide berekenen de HMAC van het geheim en de huidige tijdstap (Unix-tijd gedeeld door de periode, standaard 30 seconden) en kappen die af tot een code van 6 cijfers. Lopen beide klokken gelijk, dan krijgen ze dezelfde code.
V: Is het veilig om mijn geheim hier in te voeren?
A: De berekening gebeurt volledig in je browser met de Web Crypto API en er wordt niets naar een server gestuurd. Toch is een TOTP-geheim de sleutel tot je account: plak geen echte productiegeheimen op gedeelde of onbetrouwbare computers en gebruik testaccounts om te debuggen.
V: Waarom komt mijn code niet overeen met mijn authenticator-app?
A: Meestal is de klok niet goed afgesteld (TOTP vraagt een tijd die op een paar seconden klopt), is het algoritme, aantal cijfers of de periode anders, of is het geheim met een typefout gekopieerd. Controleer of SHA-1, 6 cijfers en 30 seconden zijn gekozen, wat bijna alle diensten gebruiken.
V: Wat is het verschil tussen TOTP en HOTP?
A: HOTP gebruikt een teller die alleen oploopt als een code wordt gebruikt, dus een code blijft geldig tot hij is verbruikt. TOTP leidt de teller af van de klok, dus codes verlopen automatisch elke periode. TOTP is veel gangbaarder voor consumenten-2FA.
V: Wat is een otpauth://-URI?
A: Het is de tekst in de QR-code die je scant bij het inschakelen van 2FA, zoals otpauth://totp/Example:user@example.com?secret=...&issuer=Example. Hij bevat het geheim, de uitgever, het account en optioneel algoritme, cijfers en periode. Plak hem in het importveld om het geheim eruit te halen.
V: Welke instellingen ondersteunen authenticator-apps?
A: Google Authenticator en veel andere apps negeren de parameters voor algoritme, cijfers en periode en gebruiken altijd SHA-1, 6 cijfers en 30 seconden. Gebruik die standaardwaarden, tenzij je weet dat app en server iets anders ondersteunen.