Pega una clave secreta 2FA o un enlace otpauth:// para ver el código que mostraría ahora tu app de autenticación. Se calcula en este dispositivo; la clave nunca se envía ni se guarda.
Cómo se genera un código TOTP
Un código TOTP (RFC 6238) es una contraseña de un solo uso calculada a partir de dos cosas: la clave secreta que te dio un servicio al activar la verificación en dos pasos y la hora actual. El intervalo de tiempo cambia cada 30 segundos, y con él el código. El servicio calcula el mismo código por su lado y compara los dos.
Tu clave se queda en este dispositivo
El código se calcula con la API Web Crypto integrada en tu navegador. La página no envía nada: ni la clave, ni el código, ni el nombre de la cuenta. No se guarda nada y la clave nunca va en la barra de direcciones, así que al recargar o cerrar la pestaña se olvida.
Cuándo usarlo y cuándo no
Sirve cuando tu app de autenticación está en un teléfono que no llevas encima, o para comprobar que una clave que anotaste es correcta. Quien tenga una clave puede generar sus códigos, así que guárdala como una contraseña y, para el uso diario, añádela a una app de autenticación en un dispositivo de confianza.
¿Tu cuenta también depende de un número de teléfono?
Muchos servicios vinculan además el acceso y la recuperación a un número. Hazte con un número privado que sea solo tuyo y que nadie más reciba mientras lo conserves.
¿Dónde encuentro mi clave secreta 2FA?
Al activar la verificación en dos pasos, el servicio muestra un código QR y, normalmente al lado, una clave de configuración de letras y cifras. Esa clave es la que va aquí. Si no la guardaste, el servicio no puede volver a mostrarla: desactiva y vuelve a activar la 2FA para obtener una nueva.
¿Por qué el código no coincide con el que espera el servicio?
Casi siempre el reloj del dispositivo va mal: TOTP depende de la hora y un reloj desviado un minuto da otro código. Después revisa los ajustes: la mayoría de los servicios usan 6 cifras, SHA-1 y un código nuevo cada 30 segundos.
¿Es seguro pegar aquí mi clave?
La página calcula el código en tu dispositivo y no envía nada a ningún sitio; una vez cargada, funciona incluso sin internet. Aun así, el lugar más seguro para una clave es una app de autenticación en un dispositivo que controles, y nunca debe pegarse en un ordenador del que no te fíes.
¿Funciona con claves de Google Authenticator o Microsoft Authenticator?
Sí, con claves TOTP estándar en Base32, que es lo que usan esas apps. No admite códigos con formato propio de un servicio, como Steam Guard.