Códigos de autenticador en vivo a partir de un secreto, un código QR para su aplicación y un verificador de códigos
Se ejecuta en su navegador. Nada de lo que escribe se envía a ningún sitio.Un código de autenticador se obtiene de un secreto compartido y del reloj; por eso cambia cada 30 segundos. Pegue un secreto para ver los códigos en vivo, obtenga un código QR para añadirlo a su teléfono o compruebe un código que le hayan dado. El secreto se queda en su dispositivo.
Esta página se ha traducido automáticamente del original en inglés. Ninguna persona ha revisado todavía la traducción, así que la versión en inglés es la que debe consultar. Leer el original en inglés
Pegue un secreto Base32 o un enlace otpauth:// en el cuadro del secreto, o pulse Nuevo secreto para obtener uno aleatorio.
Ajuste Algoritmo, Dígitos y Periodo según el servicio; la mayoría usa SHA-1, 6 dígitos y 30 s.
Lea el Código actual junto al anillo de cuenta atrás, con los códigos Anterior y Siguiente debajo.
Escriba un código en Probar un código, elija el margen de Desfase y lea Válido o No válido.
Este generador TOTP muestra el código de un solo uso en vivo para un secreto, con un anillo que cuenta el tiempo hasta el siguiente código y los códigos anterior y siguiente al lado. Crea el enlace otpauth y el código QR que escanean Google Authenticator, Microsoft Authenticator, Authy y los gestores de contraseñas, y comprueba si un código que usted escribe es válido en este momento.
Los desarrolladores lo usan mientras crean un inicio de sesión en dos pasos: generan un secreto, lo escanean con un teléfono y comprueban que el servidor acepta los mismos códigos que muestra la página. Los equipos de soporte usan el verificador para ver si el código de un usuario simplemente llega tarde, porque un código de la ventana anterior significa que el reloj del teléfono va atrasado. También lee un enlace otpauth pegado desde la exportación de un gestor de contraseñas.
Los códigos siguen el RFC 6238 con un periodo de 30 o 60 segundos, 6 u 8 dígitos y SHA-1, SHA-256 o SHA-512. La mayoría de las aplicaciones solo admite la configuración predeterminada de SHA-1, seis dígitos y 30 segundos, así que cámbiela solo si su servidor lo requiere. El verificador admite un desfase elegido de cero, uno o dos pasos a cada lado e indica qué paso coincidió.
Todo funciona en su navegador con la API Web Crypto y el reloj de la propia página, así que los códigos solo son tan correctos como la hora de su dispositivo. Los secretos nunca se envían, registran ni guardan; solo se recuerdan el periodo, los dígitos y el algoritmo. El código QR se dibuja en la página y no se obtiene de ningún servicio.
Trate el secreto de una cuenta real como su contraseña: cualquiera que lo tenga puede crear códigos válidos. Use secretos de prueba generados para el desarrollo. Herramientas relacionadas: HMAC Generator, Password Generator.
Pegue el secreto Base32, la cadena de letras de la A a la Z y dígitos del 2 al 7 que un sitio muestra debajo de su código QR, en el cuadro del secreto. El código actual aparece de inmediato con una cuenta atrás. Los espacios y las minúsculas no importan. Si tiene un enlace otpauth:// en su lugar, péguelo y la configuración se rellena a partir de él.
El secreto nunca sale de esta página: los códigos se calculan en su navegador y no se envía, registra ni almacena nada. Aun así, cualquiera que tenga el secreto puede generar sus códigos, así que pegue el secreto de una cuenta real solo en un dispositivo de confianza y, durante el desarrollo, prefiera secretos de prueba generados.
La causa más común es el desfase del reloj: los códigos dependen de la hora, así que un teléfono o un servidor con un minuto de diferencia produce códigos que el otro lado no espera. Use el verificador para ver si el código coincide con la ventana anterior o la siguiente. Otras causas son un secreto mal escrito o un algoritmo, un número de dígitos o un periodo distinto del que usa el servidor.
Los servidores suelen aceptar códigos de un paso antes y uno después del actual, de modo que un código escrito unos segundos tarde o con un reloj ligeramente desajustado sigue funcionando. El verificador le permite admitir 0, 1 o 2 pasos a cada lado e indica qué paso coincidió, lo que le dice aproximadamente cuánto se ha desviado el reloj.
Muchas no. Google Authenticator históricamente ignoraba esa configuración y usaba siempre SHA-1, seis dígitos y 30 segundos, lo que da códigos incorrectos. Microsoft Authenticator, Authy y la mayoría de los gestores de contraseñas varían. Use los valores predeterminados salvo que controle ambos lados, y escanee aquí el código QR para comprobar que los códigos de su aplicación coinciden.
HOTP (RFC 4226) crea un código nuevo cada vez que aumenta un contador, normalmente al pulsar un botón. TOTP (RFC 6238) sustituye el contador por la hora actual dividida en pasos de 30 o 60 segundos, así que los códigos caducan solos. Casi todas las aplicaciones de autenticación usan TOTP; esta herramienta solo genera y comprueba códigos TOTP.
¿Sigue sin resolverlo? Pregunte sobre Generador y verificador de códigos TOTP y cualquiera que lo sepa puede responder. No se necesita cuenta.