TOTP- / 2FA-Code-Generator

Was ist ein TOTP-/2FA-Code-Generator?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Hauptfunktionen

Beispiele für den TOTP-Generator

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

So verwendest du den TOTP-Generator

1. 1

   Base32-Secret einfügen

   Füge im Tab Erzeugen dein Base32-Secret ein (zum Beispiel JBSWY3DPEHPK3PXP). Der aktuelle TOTP-Code erscheint sofort mit einem 30-Sekunden-Countdown — ohne Erzeugen-Schaltfläche.

2. 2

   Erweiterte Optionen anpassen (optional)

   Öffne die erweiterten Optionen, um den Algorithmus (SHA-1/256/512), die Stellenanzahl (6 oder 8) oder das Intervall (30 oder 60 s) an das anzupassen, was dein Anbieter ausgegeben hat.

3. 3

   Einrichten oder Verifizieren

   Nutze den Tab Einrichten, um ein Secret und einen QR-Code für eine Authenticator-App zu erzeugen, oder den Tab Verifizieren, um einen Code gegen ein Secret mit einer Toleranz von ±1 Zeitschritt zu prüfen.

Häufige Fehler

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Häufige Anwendungsfälle

Einen 2FA-Login-Ablauf debuggen

Reproduziere den genauen Code, den die Authenticator-App eines Nutzers anzeigt, um nachzuvollziehen, warum eine Zwei-Faktor-Anmeldung abgelehnt wird.

Ein neues Konto einrichten

Erzeuge ein frisches Base32-Secret und einen QR-Code und scanne sie dann in Google Authenticator, Authy oder 1Password ein, um die 2FA einzurichten.

Das Fenster deines Servers validieren

Verifiziere Codes gegen ein Secret, um zu bestätigen, dass dein Backend einen gerade rotierten Code akzeptiert und einen abgelaufenen ablehnt.

End-to-End-Test-Fixtures bauen

Berechne deterministische TOTP-Codes aus einem bekannten Secret, um automatisierte Tests eines Zwei-Faktor-Authentifizierungsablaufs anzutreiben.

Enterprise-Einstellungen abgleichen

Reproduziere 8-stellige oder SHA-256-Codes, wenn ein Anbieter von den Standardwerten SHA-1 / 6 Stellen abweicht, um eine Diskrepanz zu debuggen.

Schnell den Zugriff wiederherstellen

Erzeuge den aktuellen Code aus einem gesicherten Secret, wenn dein Telefon nicht verfügbar ist — mit einer Wegwerfkopie des Secrets.

Technische Details

Konform zu RFC 6238 / RFC 4226

Implementiert TOTP gemäß RFC 6238 auf Basis des dynamischen Truncation-Algorithmus von HOTP aus RFC 4226, mit wählbarem SHA-1, SHA-256 und SHA-512.

Natives Web-Crypto-HMAC

Codes werden über crypto.subtle-HMAC über den Big-Endian-Zeitschrittzähler abgeleitet. Base32-Dekodierung und Truncation laufen vollständig im Browser.

Standard-otpauth://-URIs, null Abhängigkeiten

Einrichtungs-URIs folgen dem Key Uri Format (otpauth://totp) mit Parametern für Aussteller, Algorithmus, Stellen und Intervall. Keine externen Bibliotheken, keine Netzwerkaufrufe.

Bewährte Praktiken

Behandle das Secret wie ein Passwort

Wer das Base32-Secret hat, kann jeden zukünftigen Code erzeugen. Bewahre es in einem Secrets-Manager auf, nie in der Versionsverwaltung, und bevorzuge hier Test-Secrets.

Halte die Uhren synchron

TOTP hängt von genauer Zeit ab. Aktiviere die Netzwerk-Zeitsynchronisation auf Servern und Geräten, damit die Codes innerhalb des Prüffensters zusammenpassen.

Bleib bei den Standardwerten, sofern nicht anders nötig

SHA-1, 6 Stellen und ein 30-Sekunden-Intervall maximieren die App-Kompatibilität. Wechsle nur dann auf 8 Stellen oder SHA-256/512, wenn dein Anbieter es vorschreibt.

FAQ zum TOTP-/2FA-Generator