مولّد رموز TOTP / 2FA

ما هو مولّد رموز TOTP / 2FA؟

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

الميزات الرئيسية

أمثلة على مولّد TOTP

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

كيفية استخدام مولّد TOTP

1. 1

   الصق مفتاحًا سريًا Base32

   في تبويب التوليد، الصق مفتاحك السري Base32 (مثل JBSWY3DPEHPK3PXP). يظهر رمز TOTP الحالي فورًا مع عدّ تنازلي مدته 30 ثانية — دون زر توليد.

2. 2

   اضبط الخيارات المتقدمة (اختياري)

   افتح الخيارات المتقدمة لتغيير الخوارزمية (SHA-1/256/512) أو عدد الأرقام (6 أو 8) أو الفترة (30 أو 60 ثانية) لتطابق ما أصدره مزوّدك.

3. 3

   الإعداد أو التحقق

   استخدم تبويب الإعداد لتوليد مفتاح سري ورمز QR لتطبيق مصادقة، أو تبويب التحقق لفحص رمز مقابل مفتاح سري مع تسامح قدره ±خطوة زمنية واحدة.

الأخطاء الشائعة

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

حالات الاستخدام الشائعة

تصحيح تدفق تسجيل دخول 2FA

أعِد إنتاج الرمز الدقيق الذي يعرضه تطبيق المصادقة لدى المستخدم، لتتمكن من تتبّع سبب رفض تسجيل دخول ثنائي العامل.

تسجيل حساب جديد

ولّد مفتاحًا سريًا Base32 جديدًا ورمز QR، ثم امسحه في Google Authenticator أو Authy أو 1Password لإعداد 2FA.

التحقق من نافذة خادمك

تحقّق من الرموز مقابل مفتاح سري لتأكيد أن خادمك الخلفي يقبل رمزًا تجدّد للتو ويرفض رمزًا منتهي الصلاحية.

بناء بيانات اختبار شاملة

احسب رموز TOTP حتمية من مفتاح سري معروف لقيادة اختبارات آلية لتدفق مصادقة ثنائي العامل.

مطابقة الإعدادات المؤسسية

أعِد إنتاج رموز من 8 أرقام أو SHA-256 عندما يخرج مزوّد عن الإعدادات الافتراضية SHA-1 / 6 أرقام، لتصحيح عدم تطابق.

استعادة الوصول بسرعة

ولّد الرمز الحالي من مفتاح سري محفوظ احتياطيًا عندما يكون هاتفك غير متاح — باستخدام نسخة مؤقتة من المفتاح السري.

تفاصيل تقنية

متوافق مع RFC 6238 / RFC 4226

ينفّذ TOTP وفق RFC 6238 فوق خوارزمية الاقتطاع الديناميكي HOTP من RFC 4226، مع SHA-1 وSHA-256 وSHA-512 قابلة للاختيار.

HMAC أصلي عبر Web Crypto

تُشتق الرموز عبر HMAC الخاص بـ crypto.subtle على عدّاد الخطوات الزمنية ذي الترتيب الكبير. يجري فك ترميز Base32 والاقتطاع بالكامل داخل المتصفح.

روابط otpauth:// قياسية، بلا اعتماديات

تتبع روابط الإعداد صيغة Key Uri Format (otpauth://totp) مع معطيات المُصدِر والخوارزمية والأرقام والفترة. بلا مكتبات خارجية وبلا طلبات شبكية.

أفضل الممارسات

عامِل المفتاح السري كأنه كلمة مرور

أي شخص يملك المفتاح السري Base32 يمكنه توليد كل رمز مستقبلي. خزّنه في مدير أسرار، ولا تضعه أبدًا في التحكم بالمصدر، وفضّل المفاتيح الاختبارية هنا.

أبقِ الساعات متزامنة

يعتمد TOTP على وقت دقيق. فعّل مزامنة الوقت عبر الشبكة على الخوادم والأجهزة حتى تتوافق الرموز ضمن نافذة التحقق.

التزم بالإعدادات الافتراضية ما لم تكن مطلوبة

SHA-1 و6 أرقام وفترة 30 ثانية تعظّم توافق التطبيقات. لا تبدّل إلى 8 أرقام أو SHA-256/512 إلا عندما يفرض مزوّدك ذلك.

الأسئلة الشائعة حول مولّد TOTP / 2FA