TOTP / 2FA コードジェネレーター

TOTP / 2FA コードジェネレーターとは？

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

主な機能

TOTP ジェネレーターの例

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

TOTP ジェネレーターの使い方

1. 1

   Base32 シークレットを貼り付ける

   生成タブで Base32 シークレット（例: JBSWY3DPEHPK3PXP）を貼り付けます。現在の TOTP コードが 30 秒のカウントダウンとともに即座に表示されます —— 生成ボタンは不要です。

2. 2

   詳細オプションを調整する（任意）

   詳細オプションを開いて、アルゴリズム（SHA-1/256/512）、桁数（6 または 8）、周期（30 または 60 秒）を変更し、プロバイダーが発行したものに合わせます。

3. 3

   セットアップまたは検証する

   セットアップタブで認証アプリ用のシークレットと QR を生成するか、検証タブで ±1 時刻ステップの許容のもとシークレットに対してコードを照合します。

よくある間違い

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

よくある用途

2FA ログインフローをデバッグする

ユーザーの認証アプリが表示する正確なコードを再現し、二要素サインインが拒否される理由を追跡します。

新しいアカウントを登録する

新しい Base32 シークレットと QR コードを生成し、それを Google Authenticator、Authy、1Password にスキャンして 2FA を設定します。

サーバーのウィンドウを検証する

シークレットに対してコードを検証し、バックエンドがちょうど回転したコードを受け入れ、期限切れのコードを拒否することを確認します。

エンドツーエンドのテストフィクスチャを構築する

既知のシークレットから決定的な TOTP コードを計算し、二要素認証フローの自動テストを駆動します。

エンタープライズ設定に合わせる

プロバイダーが SHA-1 / 6 桁のデフォルトから外れる場合に、8 桁や SHA-256 のコードを再現して不一致をデバッグします。

アクセスを素早く回復する

スマートフォンが使えないとき、バックアップしたシークレットから現在のコードを生成します —— シークレットの使い捨てコピーを使って。

技術的な詳細

RFC 6238 / RFC 4226 準拠

RFC 4226 の HOTP 動的切り捨てアルゴリズムの上に RFC 6238 に従って TOTP を実装し、SHA-1、SHA-256、SHA-512 を選択できます。

ネイティブ Web Crypto HMAC

コードは、ビッグエンディアンの時刻ステップカウンターに対する crypto.subtle HMAC で導出されます。Base32 のデコードと切り捨ては完全にブラウザ内で実行されます。

標準的な otpauth:// URI、依存関係ゼロ

セットアップ URI は、発行者・アルゴリズム・桁数・周期のパラメーターを備えた Key Uri Format（otpauth://totp）に従います。外部ライブラリもネットワーク呼び出しもありません。

ベストプラクティス

シークレットをパスワードのように扱う

Base32 シークレットを持つ者は誰でも将来のすべてのコードを生成できます。シークレットマネージャーに保管し、決してソース管理に入れず、ここではテスト用シークレットを優先してください。

時計を同期しておく

TOTP は正確な時刻に依存します。サーバーとデバイスでネットワーク時刻同期を有効にし、コードが検証ウィンドウ内に揃うようにします。

必要でない限りデフォルトを守る

SHA-1、6 桁、30 秒周期はアプリの互換性を最大化します。プロバイダーが義務付ける場合にのみ 8 桁や SHA-256/512 に切り替えてください。

TOTP / 2FA ジェネレーター FAQ