Gerador TOTP

Gere códigos de dois fatores localmente

Uma palavra-passe de utilização única baseada no tempo (TOTP) é o código rotativo de 6 dígitos usado pelas aplicações de autenticação para a autenticação de dois fatores. Este gerador recebe a sua chave secreta Base32 e calcula o código atual diretamente no seu navegador com crypto.subtle e HMAC-SHA1, exatamente como descrito na RFC 6238. O segredo partilhado nunca sai da página: sem envio, sem conta e sem viagem de ida e volta a um servidor. Pode colar a cadeia Base32 em bruto que um serviço mostra junto ao seu código QR, ou colar o URI completo otpauth://totp/... e a ferramenta lerá automaticamente dos parâmetros o segredo, o número de dígitos e o período de tempo.

Como funciona o TOTP

O TOTP baseia-se no algoritmo HOTP. A hora Unix atual é dividida por um intervalo de tempo, normalmente 30 segundos, para produzir um valor de contador. Esse contador é processado com HMAC-SHA1 usando a sua chave secreta, e um passo de truncagem dinâmica transforma o hash num código numérico curto, normalmente de seis dígitos. Tanto o seu dispositivo como o servidor fazem o mesmo cálculo, pelo que concordam quanto ao código desde que os seus relógios estejam próximos. Como o contador muda a cada 30 segundos, cada código tem vida curta e um código interceptado rapidamente deixa de ter utilidade. O anel de contagem decrescente desta página mostra exatamente quantos segundos faltam para o próximo código aparecer.

Mantenha o seu segredo seguro

O segredo TOTP é tão sensível como uma palavra-passe, porque quem o tiver pode gerar códigos válidos para sempre até que o reponha. Encare esta ferramenta como uma forma prática de ler um código num dispositivo onde a sua aplicação de autenticação não está instalada, e não como armazenamento a longo prazo. Evite colar segredos profissionais ou bancários em qualquer ferramenta do navegador que não controle e limpe o campo quando terminar. Se um segredo alguma vez for exposto, desative a autenticação de dois fatores dessa conta e configure-a novamente para passar a um segredo novo. Para o uso diário, uma aplicação de autenticação dedicada ou uma chave de hardware num dispositivo de confiança continua a ser a opção mais segura, servindo esta página como uma cópia de segurança local rápida.