Pembuat Kode TOTP / 2FA

Apa Itu Pembuat Kode TOTP / 2FA?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Fitur Utama

Contoh Pembuat TOTP

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

Cara Menggunakan Pembuat TOTP

1. 1

   Tempelkan Secret Base32

   Di tab Generate, tempelkan secret Base32 Anda (misalnya JBSWY3DPEHPK3PXP). Kode TOTP saat ini muncul seketika dengan hitung mundur 30 detik — tanpa tombol Generate.

2. 2

   Sesuaikan Opsi Lanjutan (opsional)

   Buka opsi lanjutan untuk mengubah algoritma (SHA-1/256/512), jumlah digit (6 atau 8), atau periode (30 atau 60 dtk) agar cocok dengan yang dikeluarkan penyedia Anda.

3. 3

   Setup atau Verify

   Gunakan tab Setup untuk membuat secret dan QR bagi aplikasi authenticator, atau tab Verify untuk memeriksa kode terhadap secret dengan toleransi ±1 langkah waktu.

Kesalahan Umum

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Kasus Penggunaan Umum

Men-debug Alur Login 2FA

Reproduksi kode persis yang ditampilkan aplikasi authenticator pengguna, sehingga Anda dapat menelusuri alasan masuk dua faktor ditolak.

Mendaftarkan Akun Baru

Buat secret Base32 dan kode QR baru, lalu pindai ke Google Authenticator, Authy, atau 1Password untuk menyiapkan 2FA.

Memvalidasi Jendela Server Anda

Verifikasi kode terhadap secret untuk memastikan backend Anda menerima kode yang baru berputar dan menolak yang sudah kedaluwarsa.

Membangun Fixture Pengujian End-to-End

Hitung kode TOTP deterministik dari secret yang diketahui untuk menggerakkan pengujian otomatis alur autentikasi dua faktor.

Mencocokkan Pengaturan Enterprise

Reproduksi kode 8 digit atau SHA-256 saat penyedia menyimpang dari default SHA-1 / 6 digit, untuk men-debug ketidakcocokan.

Memulihkan Akses dengan Cepat

Buat kode saat ini dari secret yang dicadangkan ketika ponsel Anda tidak tersedia — menggunakan salinan sekali pakai dari secret.

Detail Teknis

Patuh RFC 6238 / RFC 4226

Mengimplementasikan TOTP sesuai RFC 6238 di atas algoritma pemotongan dinamis HOTP dari RFC 4226, dengan SHA-1, SHA-256, dan SHA-512 yang dapat dipilih.

HMAC Web Crypto Bawaan

Kode diturunkan lewat HMAC crypto.subtle atas penghitung langkah waktu big-endian. Dekode Base32 dan pemotongan berjalan sepenuhnya di browser.

URI otpauth:// Standar, Tanpa Dependensi

URI setup mengikuti Key Uri Format (otpauth://totp) dengan parameter issuer, algoritma, digit, dan periode. Tanpa pustaka eksternal, tanpa panggilan jaringan.

Praktik Terbaik

Perlakukan Secret Seperti Kata Sandi

Siapa pun yang memiliki secret Base32 bisa menghasilkan setiap kode di masa depan. Simpan di pengelola secret, jangan pernah di kontrol sumber, dan utamakan secret uji di sini.

Jaga Jam Tetap Sinkron

TOTP bergantung pada waktu yang akurat. Aktifkan sinkronisasi waktu jaringan di server dan perangkat agar kode selaras dalam jendela verifikasi.

Tetap pada Default Kecuali Diperlukan

SHA-1, 6 digit, dan periode 30 detik memaksimalkan kompatibilitas aplikasi. Beralih ke 8 digit atau SHA-256/512 hanya saat penyedia Anda mewajibkannya.

FAQ Pembuat TOTP / 2FA