Gerador de Códigos TOTP / 2FA

O Que É um Gerador de Códigos TOTP / 2FA?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Principais Recursos

Exemplos do Gerador de TOTP

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

Como Usar o Gerador de TOTP

1. 1

   Cole um Segredo Base32

   Na aba Gerar, cole o seu segredo Base32 (por exemplo JBSWY3DPEHPK3PXP). O código TOTP atual aparece na hora com uma contagem regressiva de 30 segundos — sem botão Gerar.

2. 2

   Ajuste as Opções Avançadas (opcional)

   Abra as opções avançadas para mudar o algoritmo (SHA-1/256/512), a contagem de dígitos (6 ou 8) ou o período (30 ou 60s) para corresponder ao que o seu provedor emitiu.

3. 3

   Configure ou Verifique

   Use a aba Configurar para gerar um segredo e um QR para um app autenticador, ou a aba Verificar para checar um código contra um segredo com tolerância de ±1 passo de tempo.

Erros Comuns

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Casos de Uso Comuns

Depurar um Fluxo de Login 2FA

Reproduza o código exato que o app autenticador de um usuário mostra para rastrear por que um login de dois fatores está sendo rejeitado.

Registrar uma Conta Nova

Gere um segredo Base32 e um código QR novos e então escaneie-os no Google Authenticator, no Authy ou no 1Password para configurar a 2FA.

Validar a Janela do Seu Servidor

Verifique códigos contra um segredo para confirmar que o seu backend aceita um código que acabou de rotacionar e rejeita um expirado.

Construir Fixtures de Testes de Ponta a Ponta

Calcule códigos TOTP determinísticos a partir de um segredo conhecido para impulsionar testes automatizados de um fluxo de autenticação de dois fatores.

Corresponder a Configurações Empresariais

Reproduza códigos de 8 dígitos ou SHA-256 quando um provedor se afasta dos padrões de SHA-1 / 6 dígitos, para depurar uma divergência.

Recuperar o Acesso Rapidamente

Gere o código atual a partir de um segredo guardado quando o seu celular não estiver disponível — usando uma cópia descartável do segredo.

Detalhes Técnicos

Conforme ao RFC 6238 / RFC 4226

Implementa o TOTP conforme o RFC 6238 sobre o algoritmo de truncamento dinâmico do HOTP do RFC 4226, com SHA-1, SHA-256 e SHA-512 selecionáveis.

HMAC Nativo do Web Crypto

Os códigos são derivados via HMAC do crypto.subtle sobre o contador de passos de tempo big-endian. A decodificação Base32 e o truncamento rodam inteiramente no navegador.

URIs otpauth:// Padrão, Zero Dependências

As URIs de configuração seguem o Key Uri Format (otpauth://totp) com parâmetros de emissor, algoritmo, dígitos e período. Sem bibliotecas externas, sem chamadas de rede.

Boas Práticas

Trate o Segredo Como uma Senha

Qualquer um com o segredo Base32 pode gerar todos os códigos futuros. Guarde-o em um gerenciador de segredos, nunca no controle de versão, e prefira segredos de teste aqui.

Mantenha os Relógios Sincronizados

O TOTP depende de hora precisa. Ative a sincronização de hora pela rede em servidores e dispositivos para que os códigos coincidam dentro da janela de verificação.

Fique nos Padrões a Menos que Seja Necessário

SHA-1, 6 dígitos e um período de 30 segundos maximizam a compatibilidade com os apps. Mude para 8 dígitos ou SHA-256/512 apenas quando o seu provedor exigir.

Perguntas Frequentes do Gerador TOTP / 2FA