Bieżące kody uwierzytelniające z sekretu, kod QR dla aplikacji i tester kodów
Działa w przeglądarce. Wpisane dane nie są nigdzie wysyłane.Kod uwierzytelniający powstaje ze wspólnego sekretu i zegara, dlatego zmienia się co 30 sekund. Wystarczy wkleić sekret, aby zobaczyć bieżące kody, uzyskać kod QR do dodania go w telefonie lub sprawdzić otrzymany kod. Sekret pozostaje na urządzeniu.
Ta strona została przetłumaczona maszynowo z angielskiego oryginału. Tłumaczenie nie zostało jeszcze sprawdzone przez człowieka, dlatego wiążąca jest wersja angielska. Przeczytaj angielski oryginał
Wklej sekret Base32 lub link otpauth:// w pole sekretu albo kliknij Nowy sekret, aby uzyskać losowy.
Ustaw Algorytm, Cyfry i Okres zgodnie z usługą; większość używa SHA-1, 6 cyfr i 30 s.
Odczytaj Bieżący kod obok pierścienia odliczania, a pod nim kody Poprzedni i Następny.
Wpisz kod w polu Sprawdź kod, wybierz dopuszczalne Przesunięcie i odczytaj wynik Prawidłowy lub Nieprawidłowy.
Ten generator TOTP pokazuje bieżący kod jednorazowy dla sekretu, z pierścieniem odliczającym czas do następnego kodu oraz kodem poprzednim i następnym obok. Tworzy link otpauth i kod QR, które skanują Google Authenticator, Microsoft Authenticator, Authy i menedżery haseł, a także sprawdza, czy wpisany kod jest w tej chwili prawidłowy.
Programiści używają go podczas tworzenia logowania dwuskładnikowego: generują sekret, skanują go telefonem i sprawdzają, czy serwer przyjmuje te same kody, które pokazuje strona. Zespoły wsparcia używają testera, aby sprawdzić, czy kod użytkownika po prostu się spóźnił, bo kod z poprzedniego okna oznacza, że zegar telefonu się spóźnia. Narzędzie odczytuje też link otpauth wklejony z eksportu menedżera haseł.
Kody są zgodne z RFC 6238, z okresem 30 lub 60 sekund, 6 lub 8 cyframi i algorytmem SHA-1, SHA-256 lub SHA-512. Większość aplikacji obsługuje tylko ustawienia domyślne: SHA-1, sześć cyfr i 30 sekund, więc należy je zmieniać tylko wtedy, gdy wymaga tego serwer. Tester dopuszcza wybrane przesunięcie o zero, jeden lub dwa kroki w każdą stronę i podaje, który krok pasował.
Wszystko działa w przeglądarce z użyciem Web Crypto API i zegara samej strony, więc kody są tak dokładne jak czas na urządzeniu. Sekrety nigdy nie są wysyłane, rejestrowane ani zapisywane; zapamiętywane są tylko okres, liczba cyfr i algorytm. Kod QR jest rysowany na stronie, a nie pobierany z żadnej usługi.
Sekret prawdziwego konta należy traktować jak jego hasło: każdy, kto go ma, może tworzyć prawidłowe kody. Do prac programistycznych należy używać wygenerowanych sekretów testowych. Powiązane narzędzia: HMAC Generator, Password Generator.
Wklej sekret Base32, czyli ciąg liter od A do Z i cyfr od 2 do 7, który serwis pokazuje pod swoim kodem QR, w pole sekretu. Bieżący kod pojawia się od razu wraz z odliczaniem. Spacje i małe litery nie przeszkadzają. Jeśli zamiast tego jest link otpauth://, wystarczy go wkleić, a ustawienia zostaną z niego uzupełnione.
Sekret nigdy nie opuszcza tej strony: kody są obliczane w przeglądarce i nic nie jest wysyłane, rejestrowane ani przechowywane. Mimo to każdy, kto ma sekret, może generować kody, więc sekret prawdziwego konta należy wklejać tylko na zaufanym urządzeniu, a podczas prac programistycznych lepiej używać wygenerowanych sekretów testowych.
Najczęstszą przyczyną jest przesunięcie zegara: kody zależą od czasu, więc telefon lub serwer, którego zegar różni się o minutę, tworzy kody, których druga strona się nie spodziewa. Tester pozwala sprawdzić, czy kod pasuje do poprzedniego lub następnego okna. Inne przyczyny to błędnie wpisany sekret albo algorytm, liczba cyfr lub okres inne niż na serwerze.
Serwery zwykle przyjmują kody z jednego kroku przed bieżącym i jednego po nim, więc kod wpisany kilka sekund za późno lub z lekko rozregulowanym zegarem nadal działa. Tester pozwala dopuścić 0, 1 lub 2 kroki w każdą stronę i podaje, który krok pasował, co mówi w przybliżeniu, o ile zegar się różni.
Wiele nie obsługuje. Google Authenticator przez długi czas ignorował te ustawienia i zawsze używał SHA-1, sześciu cyfr i 30 sekund, co daje błędne kody. Microsoft Authenticator, Authy i większość menedżerów haseł działa różnie. Należy używać ustawień domyślnych, chyba że kontroluje się obie strony, a kod QR można zeskanować tutaj, aby sprawdzić, czy kody aplikacji się zgadzają.
HOTP (RFC 4226) tworzy nowy kod za każdym razem, gdy zwiększa się licznik, zwykle po naciśnięciu przycisku. TOTP (RFC 6238) zastępuje licznik bieżącym czasem podzielonym na kroki 30- lub 60-sekundowe, więc kody wygasają same. Prawie wszystkie aplikacje uwierzytelniające używają TOTP; to narzędzie generuje i sprawdza wyłącznie kody TOTP.
Nadal coś nie działa? Zapytaj o narzędzie Generator i tester kodów TOTP a odpowiedzieć może każdy, kto zna odpowiedź. Konto nie jest potrzebne.