Генератор кодов TOTP / 2FA

Что такое генератор кодов TOTP / 2FA?

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

Ключевые возможности

Примеры генератора TOTP

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

Как использовать генератор TOTP

1. 1

   Вставьте Base32-секрет

   На вкладке «Генерация» вставьте ваш Base32-секрет (например, JBSWY3DPEHPK3PXP). Текущий код TOTP появится мгновенно с обратным отсчётом на 30 секунд — без кнопки «Генерация».

2. 2

   Настройте расширенные параметры (необязательно)

   Откройте расширенные параметры, чтобы изменить алгоритм (SHA-1/256/512), число цифр (6 или 8) или период (30 или 60 с) в соответствии с тем, что выдал ваш провайдер.

3. 3

   Настройте или проверьте

   Используйте вкладку «Настройка», чтобы сгенерировать секрет и QR для приложения-аутентификатора, или вкладку «Проверка», чтобы сверить код с секретом с допуском ±1 временной шаг.

Распространённые ошибки

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

Распространённые сценарии использования

Отладить поток входа с 2FA

Воспроизведите точный код, который показывает приложение-аутентификатор пользователя, чтобы проследить, почему двухфакторный вход отклоняется.

Добавить новую учётную запись

Сгенерируйте свежий Base32-секрет и QR-код, затем отсканируйте его в Google Authenticator, Authy или 1Password, чтобы настроить 2FA.

Проверить окно вашего сервера

Сверяйте коды с секретом, чтобы подтвердить, что ваш бэкенд принимает только что сменившийся код и отклоняет истёкший.

Построить фикстуры для сквозных тестов

Вычисляйте детерминированные коды TOTP из известного секрета, чтобы управлять автоматическими тестами потока двухфакторной аутентификации.

Сопоставить корпоративные настройки

Воспроизводите 8-значные или SHA-256 коды, когда провайдер отступает от значений по умолчанию SHA-1 / 6 цифр, чтобы отладить несоответствие.

Быстро восстановить доступ

Сгенерируйте текущий код из резервного секрета, когда телефон недоступен, — используя одноразовую копию секрета.

Технические детали

Соответствие RFC 6238 / RFC 4226

Реализует TOTP согласно RFC 6238 поверх алгоритма динамического усечения HOTP из RFC 4226, с выбираемыми SHA-1, SHA-256 и SHA-512.

Встроенный Web Crypto HMAC

Коды получаются через crypto.subtle HMAC над счётчиком временного шага в формате big-endian. Декодирование Base32 и усечение выполняются полностью в браузере.

Стандартные URI otpauth://, нулевые зависимости

URI настройки следуют формату Key Uri Format (otpauth://totp) с параметрами issuer, algorithm, digits и period. Нет внешних библиотек, нет сетевых вызовов.

Лучшие практики

Относитесь к секрету как к паролю

Любой, у кого есть Base32-секрет, может сгенерировать каждый будущий код. Храните его в менеджере секретов, никогда — в системе контроля версий, и предпочитайте тестовые секреты здесь.

Держите часы синхронизированными

TOTP зависит от точного времени. Включите сетевую синхронизацию времени на серверах и устройствах, чтобы коды совпадали в пределах окна проверки.

Придерживайтесь значений по умолчанию, если не требуется иное

SHA-1, 6 цифр и период 30 секунд максимизируют совместимость с приложениями. Переключайтесь на 8 цифр или SHA-256/512 только тогда, когда этого требует ваш провайдер.

Частые вопросы о генераторе TOTP / 2FA