> totp | authenticator | generator <
Gere senhas de uso único baseadas em tempo (TOTP) ou em contador (HOTP) a partir de um segredo Base32. Teste configurações 2FA, depure divergências do autenticador e crie URIs otpauth:// – tudo localmente no navegador.
Os segredos nunca saem do seu navegador. Mesmo assim, evite colar segredos reais de produção em computadores compartilhados.
URI OTPAUTH
Precisa de um QR code para um app autenticador? Cole a URI no Gerador de QR Code
Códigos ao vivo com contagem regressiva
Cole um segredo Base32 e veja o código atual e o próximo, renovados a cada período, com uma barra de progresso até expirar.
SHA-1, SHA-256, SHA-512
Escolha 6, 7 ou 8 dígitos e qualquer período. O HMAC usa a API Web Crypto e coincide com os vetores de teste das RFCs 4226 e 6238.
Criador e importador de URI otpauth
Crie URIs otpauth:// para apps autenticadores ou importe uma existente para preencher todos os campos automaticamente. Nada é enviado.
>> informações técnicas
Como funcionam as senhas de uso único:
O HOTP (RFC 4226) calcula HMAC(segredo, contador) e trunca o resultado para 6-8 dígitos. O TOTP (RFC 6238) é um HOTP cujo contador é o tempo Unix dividido pelo período (geralmente 30 segundos), então o código muda a cada período e os dois lados concordam sem se comunicar. O segredo compartilhado normalmente é trocado como texto Base32 ou como um QR code com uma URI otpauth://.
Exemplo:
RFC 6238 test vector (SHA-1) secret = GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ time = 59 -> counter = 59 / 30 = 1 code (8 digits) = 94287082
Por que usar este gerador TOTP:
- >Testar e depurar a autenticação de dois fatores ao desenvolver um login
- >Descobrir por que um app autenticador e um servidor divergem no código
- >Criar URIs otpauth:// com emissor, algoritmo, dígitos e período corretos
- >Conferir códigos em carimbos de tempo fixos usando o campo de tempo Unix
>> perguntas frequentes
P: Como funciona o TOTP?
R: Seu app e o servidor compartilham um segredo. Ambos calculam o HMAC do segredo e do passo de tempo atual (tempo Unix dividido pelo período, 30 segundos por padrão) e o truncam em um código de 6 dígitos. Se os dois relógios concordam, o código é o mesmo.
P: É seguro digitar meu segredo aqui?
R: O cálculo acontece inteiramente no seu navegador com a API Web Crypto e nada é enviado a um servidor. Ainda assim, um segredo TOTP é a chave da sua conta: não cole segredos reais de produção em computadores compartilhados ou não confiáveis e prefira contas de teste para depurar.
P: Por que meu código não bate com o do app autenticador?
R: As causas mais comuns são relógio incorreto (o TOTP exige hora precisa com margem de poucos segundos), algoritmo, número de dígitos ou período diferentes, ou segredo copiado com erro. Confira se SHA-1, 6 dígitos e 30 segundos estão selecionados, o que quase todos os serviços usam.
P: Qual a diferença entre TOTP e HOTP?
R: O HOTP usa um contador que só avança quando um código é usado, então o código continua válido até ser consumido. O TOTP deriva o contador do relógio, e os códigos expiram automaticamente a cada período. O TOTP é muito mais comum no 2FA de consumo.
P: O que é uma URI otpauth://?
R: É o texto dentro do QR code que você escaneia ao ativar o 2FA, como otpauth://totp/Example:user@example.com?secret=...&issuer=Example. Ela traz o segredo, o emissor, a conta e, opcionalmente, algoritmo, dígitos e período. Cole-a na caixa de importação para extrair o segredo.
P: Quais configurações os apps autenticadores aceitam?
R: O Google Authenticator e muitos outros apps ignoram os parâmetros de algoritmo, dígitos e período e usam sempre SHA-1, 6 dígitos e 30 segundos. Use esses padrões, a menos que saiba que o app e o servidor aceitam outra coisa.