Générateur TOTP

Générez des codes à deux facteurs en local

Un mot de passe à usage unique basé sur le temps (TOTP) est le code à 6 chiffres renouvelé en continu, utilisé par les applications d'authentification pour l'authentification à deux facteurs. Ce générateur prend votre clé secrète Base32 et calcule le code actuel directement dans votre navigateur avec crypto.subtle et HMAC-SHA1, exactement comme décrit dans la RFC 6238. Le secret partagé ne quitte jamais la page : aucun envoi, aucun compte et aucun aller-retour avec un serveur. Vous pouvez coller la chaîne Base32 brute qu'un service affiche à côté de son code QR, ou coller l'URI complète otpauth://totp/... et l'outil lira automatiquement le secret, le nombre de chiffres et la période depuis ses paramètres.

Comment fonctionne le TOTP

Le TOTP repose sur l'algorithme HOTP. L'heure Unix actuelle est divisée par un pas de temps, généralement 30 secondes, pour produire une valeur de compteur. Ce compteur est haché avec HMAC-SHA1 à l'aide de votre clé secrète, et une étape de troncature dynamique transforme le hachage en un court code numérique, généralement de six chiffres. Votre appareil et le serveur effectuent le même calcul ; ils s'accordent donc sur le code tant que leurs horloges sont proches. Comme le compteur change toutes les 30 secondes, chaque code est éphémère et un code intercepté devient vite inutile. L'anneau de compte à rebours de cette page indique exactement combien de secondes restent avant l'apparition du code suivant.

Protégez votre secret

Le secret TOTP est aussi sensible qu'un mot de passe, car quiconque le possède peut générer des codes valides indéfiniment jusqu'à ce que vous le réinitialisiez. Considérez cet outil comme un moyen pratique de lire un code sur un appareil où votre application d'authentification n'est pas installée, et non comme un stockage à long terme. Évitez de coller des secrets professionnels ou bancaires dans un outil de navigateur que vous ne contrôlez pas, et videz le champ lorsque vous avez terminé. Si un secret est un jour exposé, désactivez l'authentification à deux facteurs pour ce compte et reconfigurez-la pour passer à un nouveau secret. Pour un usage quotidien, une application d'authentification dédiée ou une clé matérielle sur un appareil de confiance reste l'option la plus sûre, cette page servant de sauvegarde locale rapide.