Generator kodów TOTP / 2FA

Czym jest generator kodów TOTP / 2FA?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Najważniejsze funkcje

Przykłady generatora TOTP

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

Jak używać generatora TOTP

1. 1

   Wklej sekret Base32

   Na karcie Generuj wklej swój sekret Base32 (na przykład JBSWY3DPEHPK3PXP). Bieżący kod TOTP pojawi się natychmiast z odliczaniem 30 sekund — bez przycisku Generuj.

2. 2

   Dostosuj opcje zaawansowane (opcjonalnie)

   Otwórz opcje zaawansowane, aby zmienić algorytm (SHA-1/256/512), liczbę cyfr (6 lub 8) albo okres (30 lub 60s) tak, by pasowały do tego, co wydał Twój dostawca.

3. 3

   Skonfiguruj lub zweryfikuj

   Użyj karty Konfiguracja, aby wygenerować sekret i kod QR dla aplikacji authenticator, albo karty Weryfikuj, aby sprawdzić kod względem sekretu z tolerancją ±1 kroku czasowego.

Częste błędy

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Typowe zastosowania

Debugowanie procesu logowania 2FA

Odtwórz dokładny kod, który pokazuje aplikacja authenticator użytkownika, aby prześledzić, dlaczego logowanie dwuskładnikowe jest odrzucane.

Rejestracja nowego konta

Wygeneruj świeży sekret Base32 i kod QR, a następnie zeskanuj go do Google Authenticator, Authy lub 1Password, aby skonfigurować 2FA.

Walidacja okna Twojego serwera

Weryfikuj kody względem sekretu, aby potwierdzić, że Twój backend akceptuje kod, który właśnie się obrócił, a odrzuca wygasły.

Budowanie danych testowych end-to-end

Oblicz deterministyczne kody TOTP ze znanego sekretu, aby napędzać zautomatyzowane testy procesu uwierzytelniania dwuskładnikowego.

Dopasowanie ustawień korporacyjnych

Odtwórz kody 8-cyfrowe lub SHA-256, gdy dostawca odbiega od domyślnych SHA-1 / 6 cyfr, aby zdebugować niezgodność.

Szybkie odzyskanie dostępu

Wygeneruj bieżący kod z zapasowego sekretu, gdy telefon jest niedostępny — używając jednorazowej kopii sekretu.

Szczegóły techniczne

Zgodność z RFC 6238 / RFC 4226

Implementuje TOTP zgodnie z RFC 6238 na bazie algorytmu dynamicznego skracania HOTP z RFC 4226, z wybieralnym SHA-1, SHA-256 i SHA-512.

Natywne HMAC Web Crypto

Kody są wyprowadzane przez crypto.subtle HMAC na liczniku kroków czasowych w formacie big-endian. Dekodowanie Base32 i skracanie odbywają się w całości w przeglądarce.

Standardowe URI otpauth://, zero zależności

URI konfiguracyjne są zgodne z Key Uri Format (otpauth://totp) z parametrami issuer, algorytm, cyfry i okres. Bez bibliotek zewnętrznych, bez żądań sieciowych.

Dobre praktyki

Traktuj sekret jak hasło

Każdy, kto ma sekret Base32, może wygenerować każdy przyszły kod. Przechowuj go w menedżerze sekretów, nigdy w systemie kontroli wersji, i preferuj tutaj sekrety testowe.

Synchronizuj zegary

TOTP zależy od dokładnego czasu. Włącz synchronizację czasu sieciowego na serwerach i urządzeniach, aby kody pokrywały się w oknie weryfikacji.

Trzymaj się domyślnych ustawień, chyba że jest wymagane inaczej

SHA-1, 6 cyfr i okres 30 sekund maksymalizują zgodność z aplikacjami. Przełączaj na 8 cyfr lub SHA-256/512 tylko wtedy, gdy wymaga tego Twój dostawca.

FAQ generatora TOTP / 2FA