Генератор 2FA-кодов TOTP: код подтверждения по секретному ключу

Вставьте секретный 2FA-ключ или ссылку otpauth://, чтобы увидеть код, который сейчас показало бы приложение-аутентификатор. Он считается на этом устройстве; ключ не отправляется и не сохраняется.

Как получается TOTP-код

TOTP-код (RFC 6238) — одноразовый пароль, который вычисляется из двух вещей: секретного ключа, выданного сервисом при включении двухфакторной аутентификации, и текущего времени. Шаг времени меняется каждые 30 секунд, а вместе с ним и код. Сервис вычисляет тот же код у себя и сравнивает.

Ваш ключ остаётся на этом устройстве

Код считается через встроенный в браузер Web Crypto API. Страница ничего не отправляет: ни ключ, ни код, ни имя аккаунта. Ничего не сохраняется, ключ не попадает в адресную строку, поэтому после перезагрузки или закрытия вкладки он забывается.

Когда это пригодится, а когда нет

Это выручит, если приложение-аутентификатор осталось на другом телефоне, или чтобы проверить, правильно ли вы записали ключ. Тот, у кого есть ключ, может получать ваши коды, поэтому храните его как пароль, а для постоянного использования добавьте его в аутентификатор на доверенном устройстве.

Ваш аккаунт держится и на номере телефона?

Многие сервисы привязывают вход и восстановление ещё и к номеру. Возьмите личный номер, который принадлежит только вам и, пока он у вас, никому другому не выдаётся.

Где найти секретный 2FA-ключ?

При включении двухфакторной аутентификации сервис показывает QR-код и обычно рядом — ключ настройки из букв и цифр. Именно его нужно вставить сюда. Если вы его не сохранили, сервис не покажет его снова: выключите и включите 2FA, чтобы получить новый.

Почему код не совпадает с тем, что ждёт сервис?

Чаще всего неверно идут часы устройства: TOTP зависит от времени, и часы, отстающие на минуту, дают другой код. Затем проверьте настройки: большинство сервисов используют 6 цифр, SHA-1 и новый код каждые 30 секунд.

Безопасно ли вставлять сюда ключ?

Страница считает код на вашем устройстве и ничего никуда не отправляет; после загрузки она работает и без интернета. И всё же надёжнее всего хранить ключ в аутентификаторе на вашем устройстве и никогда не вставлять его на чужом компьютере.

Подходят ли ключи от Google Authenticator или Microsoft Authenticator?

Да, стандартные TOTP-ключи в Base32 — именно такие используют эти приложения. Коды в собственном формате сервиса, например Steam Guard, не поддерживаются.