Ce que fait cet outil
- Génère des codes tournants de 30 secondes conformes au TOTP (RFC 6238) à partir de votre clé secrète.
- Fonctionne dans le navigateur. Aucun compte, aucune installation.
- Utile pour tester les flux 2FA, l’accès de secours, les environnements de préproduction et les démos développeurs.
Comment fonctionne TOTP (bref)
TOTP combine un secret partagé (base32) et l’heure actuelle pour calculer un code à 6 chiffres. Le serveur et l’authentificateur calculent le même code ; une correspondance prouve la possession du secret et la bonne fenêtre temporelle.
Comment utiliser l’authentificateur en ligne
- Obtenez votre secret auprès du service où vous activez 2FA (QR ou chaîne base32 comme
JBSWY3DPEHPK3PXP). - Entrez le secret base32 dans l’outil ou collez l’URI
otpauth://. - Optionnel : définir issuer, nom de compte, chiffres et période (par défaut : 6 chiffres, 30 s).
- Copiez le code actuel et complétez la vérification sur le service cible.
Pourquoi l’utiliser plutôt qu’une application mobile ?
- Rapidité : codes instantanés dans n’importe quel navigateur desktop pour QA et CI.
- Visibilité : inspection des paramètres, test de dérive et cas limites.
- Portabilité : aucun appairage d’appareil requis pour des environnements temporaires.
Notes de sécurité
- Protégez votre secret. Toute personne possédant la clé base32 peut générer des codes valides.
- Utilisez uniquement HTTPS et gardez la page privée. Supprimez le secret après utilisation.
- La précision de l’heure est essentielle. Assurez-vous que l’horloge de votre appareil est synchronisée (NTP). Même un léger décalage peut invalider les codes.
- Sauvegarde : conservez les codes de récupération du service. L’outil ne peut pas récupérer les secrets perdus.
Compatibilité
Prend en charge le TOTP standard utilisé par Google, Microsoft, GitHub, AWS, Cloudflare, Slack, GitLab et la plupart des fournisseurs OAuth/OpenID. HOTP (basé sur compteur) n’est pas supporté sauf indication contraire du service.
Paramètres courants
| Champ | Valeur par défaut | Notes |
|---|---|---|
| Chiffres | 6 | Certains services permettent 8. |
| Période | 30 s | 60 s existe mais est rare. |
| Algorithme | SHA-1 | SHA-256/512 supporté par certains IdP. |
| URI | otpauth://totp/Issuer:Account?secret=...&issuer=...&period=30&digits=6 | Collez pour auto-remplissage. |
Conseils pour développeurs
- Vérifiez que périodes serveur et client correspondent. Tolérez ±1 fenêtre pour dérive d’horloge.
- Les secrets base32 doivent être en majuscules sans espaces. Supprimez le padding
=si présent. - En testant QR : décodez vers URI
otpauth://pour confirmer les paramètres.
FAQ
- Est-ce un remplaçant de Google Authenticator/Authy ?
- Non. C’est un générateur léger basé navigateur pour usage rapide et tests.
- Stockez-vous mes secrets ?
- Non. Les codes sont générés localement dans votre navigateur. Effacez après usage.
- Pourquoi mes codes échouent-ils ?
- Vérifiez secret, chiffres, algorithme et heure système. Pas d’espaces, base32 correct.
- Puis-je générer plusieurs tokens ?
- Oui. Ouvrez plusieurs instances ou profils, chacun avec un secret différent.