Generador de Códigos TOTP / 2FA

¿Qué Es un Generador de Códigos TOTP / 2FA?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Características Principales

Ejemplos del Generador de TOTP

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

Cómo Usar el Generador de TOTP

1. 1

   Pega un Secreto Base32

   En la pestaña Generar, pega tu secreto Base32 (por ejemplo JBSWY3DPEHPK3PXP). El código TOTP actual aparece al instante con una cuenta atrás de 30 segundos, sin botón Generar.

2. 2

   Ajusta las Opciones Avanzadas (opcional)

   Abre las opciones avanzadas para cambiar el algoritmo (SHA-1/256/512), el número de dígitos (6 u 8) o el periodo (30 o 60 s) para que coincida con lo que emitió tu proveedor.

3. 3

   Configura o Verifica

   Usa la pestaña Configurar para generar un secreto y un QR para una app autenticadora, o la pestaña Verificar para comprobar un código contra un secreto con una tolerancia de ±1 paso de tiempo.

Errores Comunes

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Casos de Uso Comunes

Depurar un Flujo de Inicio de Sesión 2FA

Reproduce el código exacto que muestra la app autenticadora de un usuario para rastrear por qué se rechaza un inicio de sesión de dos factores.

Registrar una Cuenta Nueva

Genera un secreto Base32 y un código QR nuevos, y luego escanéalos en Google Authenticator, Authy o 1Password para configurar la 2FA.

Validar la Ventana de Tu Servidor

Verifica códigos contra un secreto para confirmar que tu backend acepta un código que acaba de rotar y rechaza uno caducado.

Construir Fixtures de Pruebas de Extremo a Extremo

Calcula códigos TOTP deterministas a partir de un secreto conocido para impulsar pruebas automatizadas de un flujo de autenticación de dos factores.

Coincidir con la Configuración Empresarial

Reproduce códigos de 8 dígitos o SHA-256 cuando un proveedor se aparta de los valores por defecto de SHA-1 / 6 dígitos, para depurar un desajuste.

Recuperar el Acceso Rápidamente

Genera el código actual a partir de un secreto respaldado cuando tu teléfono no esté disponible, usando una copia desechable del secreto.

Detalles Técnicos

Conforme a RFC 6238 / RFC 4226

Implementa TOTP según RFC 6238 sobre el algoritmo de truncamiento dinámico de HOTP de RFC 4226, con SHA-1, SHA-256 y SHA-512 seleccionables.

HMAC Nativo de Web Crypto

Los códigos se derivan mediante HMAC de crypto.subtle sobre el contador de pasos de tiempo big-endian. La decodificación Base32 y el truncamiento se ejecutan enteramente en el navegador.

URIs otpauth:// Estándar, Cero Dependencias

Las URIs de configuración siguen el Key Uri Format (otpauth://totp) con parámetros de emisor, algoritmo, dígitos y periodo. Sin bibliotecas externas, sin llamadas de red.

Buenas Prácticas

Trata el Secreto Como una Contraseña

Cualquiera con el secreto Base32 puede generar todos los códigos futuros. Guárdalo en un gestor de secretos, nunca en el control de versiones, y prefiere secretos de prueba aquí.

Mantén los Relojes Sincronizados

TOTP depende de una hora precisa. Activa la sincronización de hora por red en servidores y dispositivos para que los códigos coincidan dentro de la ventana de verificación.

Cíñete a los Valores por Defecto Salvo que se Requiera

SHA-1, 6 dígitos y un periodo de 30 segundos maximizan la compatibilidad con las apps. Cambia a 8 dígitos o SHA-256/512 solo cuando tu proveedor lo exija.

Preguntas Frecuentes del Generador TOTP / 2FA