Gerador de Códigos TOTP

Como usar

1. Cole seu segredo TOTP Base32 (a string longa de letras e dígitos da configuração) no campo de segredo. Espaços e hifens são tolerados.
2. Ajuste dígitos, período e algoritmo para combinar com o que o serviço usa. Os padrões do Google Authenticator são 6 dígitos / 30 s / SHA-1.
3. Leia o código atual; clique nele para copiar. Fique de olho no anel de contagem — quando estiver perto de zero, olhe o painel 'Próximo' para decidir qual usar.
4. Se o código for rejeitado, confira se o relógio do dispositivo está sincronizado — TOTP depende do tempo Unix estar correto ao segundo.

Perguntas frequentes

É seguro? Meu segredo vai para algum lugar?

Nada sai do seu navegador. A decodificação Base32 e o cálculo HMAC-SHA rodam via Web Crypto API no seu dispositivo. Você pode inspecionar a aba de rede para confirmar. Ainda assim, trate qualquer segredo TOTP como uma senha — cole apenas em ferramentas confiáveis e nunca compartilhe capturas que exponham a string.

Qual configuração escolher?

Os padrões (6 dígitos, 30 segundos, SHA-1) batem com a especificação do Google Authenticator e funcionam com a maioria dos serviços. Alguns bancos e sistemas corporativos usam 8 dígitos, 60 segundos ou SHA-256/512 — geralmente mencionam isso na configuração ou aparece no URI otpauth://. Parâmetros incorretos geram códigos errados em silêncio.

Meu código é rejeitado — o que está errado?

Na maioria das vezes é dessincronização do relógio. O TOTP usa o tempo Unix do dispositivo; se seu notebook estiver mais de ~30 s atrasado/adiantado, todo código falha. Sincronize o relógio (a maioria dos sistemas faz isso automaticamente; confira o NTP). Outras causas: dígitos / período / algoritmo errados, caracteres a mais ou a menos no segredo, ou um segredo de outra conta.

Qual a diferença entre TOTP e HOTP?

HOTP (RFC 4226) incrementa um contador toda vez que você pede um novo código; cliente e servidor precisam manter o contador sincronizado. TOTP (RFC 6238) substitui o contador pelo tempo Unix atual dividido pelo período, então o código gira sozinho. O 2FA moderno usa quase sempre TOTP.

Dá para importar um QR code ou URI otpauth://?

Nesta ferramenta não — cole o segredo Base32 diretamente. Se você tem um URI otpauth://, o segredo é o valor depois de 'secret=' na query string. Se só tem o QR como imagem, escaneie com outro decodificador antes e cole o segredo aqui.

Guias sobre este tema

• Senhas e frases-senha: o que realmente deixa uma forte Por que o comprimento vence a troca de letras por símbolos, onde os medidores de força enganam, como funcionam as frases-senha e o que a autenticação em dois fatores protege — e o que não.

Ferramentas relacionadas