Generador TOTP

Genera códigos de doble factor en local

Una contraseña de un solo uso basada en el tiempo (TOTP) es el código rotativo de 6 dígitos que usan las aplicaciones de autenticación para la autenticación de doble factor. Este generador toma tu clave secreta Base32 y calcula el código actual directamente en tu navegador con crypto.subtle y HMAC-SHA1, exactamente como se describe en la RFC 6238. El secreto compartido nunca sale de la página: no hay subida, ni cuenta, ni viaje de ida y vuelta a un servidor. Puedes pegar la cadena Base32 en bruto que un servicio muestra junto a su código QR, o pegar el URI completo otpauth://totp/... y la herramienta leerá automáticamente de sus parámetros el secreto, el número de dígitos y el periodo de tiempo.

Cómo funciona TOTP

TOTP se basa en el algoritmo HOTP. La hora Unix actual se divide por un intervalo de tiempo, normalmente de 30 segundos, para obtener un valor de contador. Ese contador se procesa con HMAC-SHA1 usando tu clave secreta, y un paso de truncamiento dinámico convierte el hash en un código numérico corto, normalmente de seis dígitos. Tanto tu dispositivo como el servidor realizan el mismo cálculo, así que coinciden en el código siempre que sus relojes estén cerca. Como el contador cambia cada 30 segundos, cada código dura poco y un código capturado pierde pronto su utilidad. El anillo de cuenta atrás de esta página muestra exactamente cuántos segundos faltan para que aparezca el siguiente código.

Mantén tu secreto a salvo

El secreto TOTP es tan sensible como una contraseña, porque cualquiera que lo tenga puede generar códigos válidos para siempre hasta que lo restablezcas. Considera esta herramienta una forma cómoda de leer un código en un dispositivo donde no tienes instalada tu aplicación de autenticación, no un almacén a largo plazo. Evita pegar secretos de trabajo o bancarios en cualquier herramienta del navegador que no controles y borra el campo cuando termines. Si alguna vez un secreto queda expuesto, desactiva la autenticación de doble factor de esa cuenta y vuelve a configurarla para pasar a un secreto nuevo. Para el uso diario, una aplicación de autenticación dedicada o una llave de hardware en un dispositivo de confianza sigue siendo la opción más segura, y esta página sirve como copia de seguridad local rápida.