Generatore TOTP

Genera codici a due fattori in locale

Una password monouso basata sul tempo (TOTP) è il codice di 6 cifre che cambia di continuo, usato dalle app di autenticazione per l'autenticazione a due fattori. Questo generatore prende la tua chiave segreta Base32 e calcola il codice attuale direttamente nel browser usando crypto.subtle con HMAC-SHA1, esattamente come descritto nella RFC 6238. Il segreto condiviso non lascia mai la pagina: nessun caricamento, nessun account e nessuna comunicazione con un server. Puoi incollare la stringa Base32 grezza che un servizio mostra accanto al suo codice QR, oppure incollare l'intero URI otpauth://totp/... e lo strumento leggerà automaticamente dai suoi parametri il segreto, il numero di cifre e l'intervallo di tempo.

Come funziona il TOTP

Il TOTP si basa sull'algoritmo HOTP. L'ora Unix corrente viene divisa per un intervallo di tempo, di solito 30 secondi, per ottenere un valore del contatore. Quel contatore viene sottoposto a hash con HMAC-SHA1 usando la tua chiave segreta, e un passaggio di troncamento dinamico trasforma l'hash in un breve codice numerico, in genere di sei cifre. Sia il tuo dispositivo sia il server eseguono lo stesso calcolo, quindi concordano sul codice finché i loro orologi sono vicini. Poiché il contatore cambia ogni 30 secondi, ogni codice ha vita breve e un codice intercettato diventa rapidamente inutile. L'anello del conto alla rovescia in questa pagina mostra esattamente quanti secondi mancano alla comparsa del codice successivo.

Proteggi il tuo segreto

Il segreto TOTP è delicato quanto una password, perché chiunque lo possieda può generare codici validi per sempre, finché non lo reimposti. Considera questo strumento un modo comodo per leggere un codice su un dispositivo in cui la tua app di autenticazione non è installata, non un archivio a lungo termine. Evita di incollare segreti di lavoro o bancari in qualsiasi strumento del browser che non controlli e svuota il campo al termine. Se un segreto viene mai esposto, disattiva l'autenticazione a due fattori per quell'account e configurala di nuovo per passare a un segreto nuovo. Per l'uso quotidiano, un'app di autenticazione dedicata o una chiave hardware su un dispositivo attendibile resta l'opzione più sicura, mentre questa pagina funge da rapido backup locale.