TOTP-/2FA-codegenerator

Wat is een TOTP-/2FA-codegenerator?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Belangrijkste functies

Voorbeelden van de TOTP-generator

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

De TOTP-generator gebruiken

1. 1

   Plak een Base32-secret

   Plak op het tabblad Genereren je Base32-secret (bijvoorbeeld JBSWY3DPEHPK3PXP). De huidige TOTP-code verschijnt direct met een aftelling van 30 seconden — geen Genereren-knop.

2. 2

   Pas geavanceerde opties aan (optioneel)

   Open de geavanceerde opties om het algoritme (SHA-1/256/512), het aantal cijfers (6 of 8) of de periode (30 of 60s) af te stemmen op wat je provider heeft uitgegeven.

3. 3

   Instellen of verifiëren

   Gebruik het tabblad Instellen om een secret en QR voor een authenticator-app te genereren, of het tabblad Verifiëren om een code te controleren tegen een secret met een tolerantie van ±1 tijdstap.

Veelgemaakte fouten

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Veelvoorkomende toepassingen

Een 2FA-aanmeldproces debuggen

Reproduceer de exacte code die de authenticator-app van een gebruiker toont, zodat je kunt traceren waarom een tweefactoraanmelding wordt geweigerd.

Een nieuw account registreren

Genereer een vers Base32-secret en QR-code en scan deze in Google Authenticator, Authy of 1Password om 2FA in te stellen.

Het venster van je server valideren

Verifieer codes tegen een secret om te bevestigen dat je backend een net geroteerde code accepteert en een verlopen code weigert.

End-to-end-testfixtures bouwen

Bereken deterministische TOTP-codes uit een bekend secret om geautomatiseerde tests van een tweefactorauthenticatieproces aan te sturen.

Enterprise-instellingen afstemmen

Reproduceer 8-cijferige of SHA-256-codes wanneer een provider afwijkt van de standaard SHA-1 / 6 cijfers, om een afwijking te debuggen.

Snel weer toegang krijgen

Genereer de huidige code uit een geback-upt secret wanneer je telefoon niet beschikbaar is — met een wegwerpkopie van het secret.

Technische details

RFC 6238- / RFC 4226-conform

Implementeert TOTP volgens RFC 6238 bovenop het HOTP-algoritme met dynamische truncatie uit RFC 4226, met selecteerbare SHA-1, SHA-256 en SHA-512.

Native Web Crypto HMAC

Codes worden afgeleid via crypto.subtle HMAC over de big-endian tijdstappenteller. Base32-decodering en truncatie verlopen volledig in de browser.

Standaard otpauth://-URI's, geen afhankelijkheden

Installatie-URI's volgen het Key Uri Format (otpauth://totp) met parameters voor issuer, algoritme, cijfers en periode. Geen externe bibliotheken, geen netwerkverzoeken.

Aanbevolen werkwijzen

Behandel het secret als een wachtwoord

Iedereen met het Base32-secret kan elke toekomstige code genereren. Bewaar het in een secrets manager, nooit in versiebeheer, en verkies hier testsecrets.

Houd klokken gesynchroniseerd

TOTP hangt af van nauwkeurige tijd. Schakel netwerktijdsynchronisatie in op servers en apparaten zodat codes binnen het verificatievenster gelijklopen.

Blijf bij de standaardinstellingen tenzij vereist

SHA-1, 6 cijfers en een periode van 30 seconden maximaliseren de app-compatibiliteit. Schakel alleen over naar 8 cijfers of SHA-256/512 wanneer je provider dat verplicht.

Veelgestelde vragen over de TOTP-/2FA-generator