Generatore di Codici TOTP / 2FA

Cos'è un Generatore di Codici TOTP / 2FA?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Caratteristiche Principali

Esempi del Generatore TOTP

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

Come Usare il Generatore TOTP

1. 1

   Incolla un Segreto Base32

   Nella scheda Genera, incolla il tuo segreto Base32 (per esempio JBSWY3DPEHPK3PXP). Il codice TOTP corrente appare all'istante con un conto alla rovescia di 30 secondi — nessun pulsante Genera.

2. 2

   Regola le Opzioni Avanzate (facoltativo)

   Apri le opzioni avanzate per cambiare l'algoritmo (SHA-1/256/512), il numero di cifre (6 o 8), o il periodo (30 o 60s) per corrispondere a ciò che il tuo provider ha emesso.

3. 3

   Configura o Verifica

   Usa la scheda Configura per generare un segreto e un QR per un'app autenticatore, o la scheda Verifica per controllare un codice rispetto a un segreto con tolleranza di ±1 intervallo di tempo.

Errori Comuni

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Casi d'Uso Comuni

Debug di un Flusso di Accesso 2FA

Riproduci il codice esatto mostrato dall'app autenticatore di un utente, così da poter rintracciare il motivo per cui un accesso a due fattori viene rifiutato.

Registra un Nuovo Account

Genera un nuovo segreto Base32 e codice QR, poi scansionalo in Google Authenticator, Authy o 1Password per configurare la 2FA.

Convalida la Finestra del Tuo Server

Verifica i codici rispetto a un segreto per confermare che il tuo backend accetti un codice appena ruotato e rifiuti quello scaduto.

Costruisci Fixture per Test End-to-End

Calcola codici TOTP deterministici da un segreto noto per guidare i test automatizzati di un flusso di autenticazione a due fattori.

Allinea le Impostazioni Aziendali

Riproduci codici a 8 cifre o SHA-256 quando un provider si discosta dai valori predefiniti SHA-1 / 6 cifre, per fare il debug di una discrepanza.

Recupera l'Accesso Rapidamente

Genera il codice corrente da un segreto di backup quando il telefono non è disponibile — usando una copia usa e getta del segreto.

Dettagli Tecnici

Conforme a RFC 6238 / RFC 4226

Implementa il TOTP secondo RFC 6238 sopra l'algoritmo di troncamento dinamico HOTP di RFC 4226, con SHA-1, SHA-256 e SHA-512 selezionabili.

HMAC Web Crypto Nativo

I codici sono derivati tramite HMAC di crypto.subtle sul contatore degli intervalli di tempo big-endian. La decodifica Base32 e il troncamento vengono eseguiti interamente nel browser.

URI otpauth:// Standard, Zero Dipendenze

Gli URI di configurazione seguono il Key Uri Format (otpauth://totp) con parametri di emittente, algoritmo, cifre e periodo. Nessuna libreria esterna, nessuna chiamata di rete.

Best Practice

Tratta il Segreto Come una Password

Chiunque abbia il segreto Base32 può generare ogni codice futuro. Conservalo in un gestore di segreti, mai nel controllo di versione, e qui preferisci segreti di test.

Mantieni gli Orologi Sincronizzati

Il TOTP dipende da un'ora accurata. Abilita la sincronizzazione dell'ora di rete su server e dispositivi così che i codici si allineino entro la finestra di verifica.

Attieniti ai Valori Predefiniti Salvo Necessità

SHA-1, 6 cifre e un periodo di 30 secondi massimizzano la compatibilità delle app. Passa a 8 cifre o SHA-256/512 solo quando il tuo provider lo impone.

FAQ del Generatore TOTP / 2FA