O que esta ferramenta faz
- Gera códigos rotativos de 30 segundos compatíveis com TOTP (RFC 6238) usando sua chave secreta.
- Funciona no navegador. Não requer conta nem instalação.
- Útil para testar fluxos 2FA, acessos de backup, ambientes de homologação e demonstrações para desenvolvedores.
Como o TOTP funciona (rápido)
O TOTP combina um segredo compartilhado (base32) e a hora atual para calcular um código de 6 dígitos. O servidor e o autenticador geram o mesmo código; uma correspondência prova a posse do segredo e o uso da janela de tempo correta.
Como usar o autenticador online
- Obtenha seu segredo no serviço em que você ativa o 2FA (QR ou string base32 como
JBSWY3DPEHPK3PXP). - Digite o segredo base32 na ferramenta ou cole a URI
otpauth://. - Opcionalmente defina issuer, nome da conta, dígitos e período (padrão: 6 dígitos, 30 s).
- Copie o código atual e conclua a verificação no serviço de destino.
Por que usar isso em vez de um app móvel?
- Velocidade: códigos instantâneos em qualquer navegador desktop para QA e CI.
- Visibilidade: inspecione parâmetros, teste desvios de tempo e casos extremos.
- Portabilidade: não requer emparelhamento de dispositivo para ambientes temporários.
Notas de segurança
- Proteja seu segredo. Qualquer pessoa com a chave base32 pode gerar códigos válidos.
- Use apenas HTTPS e mantenha a página privada. Apague o segredo após o uso.
- A precisão do tempo é crucial. Certifique-se de que o relógio do dispositivo esteja sincronizado (NTP). Mesmo pequenos desvios podem invalidar os códigos.
- Backup: guarde os códigos de recuperação do serviço. A ferramenta não pode recuperar segredos perdidos.
Compatibilidade
Compatível com o padrão TOTP usado por Google, Microsoft, GitHub, AWS, Cloudflare, Slack, GitLab e a maioria dos provedores OAuth/OpenID. HOTP (baseado em contador) não é suportado, a menos que especificado pelo serviço.
Parâmetros comuns
| Campo | Padrão | Notas |
|---|---|---|
| Dígitos | 6 | Alguns serviços permitem 8. |
| Período | 30 s | 60 s existe mas é raro. |
| Algoritmo | SHA-1 | SHA-256/512 suportado por alguns IdPs. |
| URI | otpauth://totp/Issuer:Account?secret=...&issuer=...&period=30&digits=6 | Cole para preencher automaticamente. |
Dicas para desenvolvedores
- Verifique se os períodos do servidor e cliente correspondem. Permita ±1 janela para tolerar desvios de relógio.
- Segredos base32 devem estar em maiúsculas e sem espaços. Remova o padding
=se presente. - Ao testar QR: decodifique para a URI
otpauth://para confirmar os parâmetros.
FAQ
- Isso substitui Google Authenticator/Authy?
- Não. É um gerador leve, baseado em navegador, para uso rápido e testes.
- Vocês armazenam meus segredos?
- Não. A geração de códigos acontece localmente no navegador. Limpe a página após o uso.
- Por que meus códigos falham?
- Verifique o segredo, dígitos, algoritmo e horário do sistema. Certifique-se de não ter espaços extras e de usar base32 correto.
- Posso gerar múltiplos tokens?
- Sim. Abra várias instâncias ou perfis, cada um com um segredo diferente.