Générateur de code TOTP
TOTP Code Generator
Transforme un secret TOTP en code à six chiffres du moment, avec le compte à rebours, pour tester une configuration de double authentification.
Quand vous scannez un QR de double authentification, vous stockez un secret partagé, et rien dans l’application ne permet de voir s’il a été stocké correctement avant la prochaine connexion. Coller le même secret ici montre le code qu’elle devrait produire en ce moment, si bien qu’un écart se voit avant que vous ne soyez enfermé dehors.
Le secret ne vit que dans la mémoire de cette page. Il n’est pas écrit dans le localStorage, pas mis dans l’URL, et envoyé à aucun serveur : le HMAC tourne dans votre navigateur via crypto.subtle. Recharger l’onglet le perd, et c’est voulu : ceci est un outil pour vérifier une configuration, pas un remplaçant d’une application d’authentification capable de garder le secret chiffré au repos.
Comment s’en servir
Collez le secret en Base32
C’est la chaîne qu’un site affiche sous « vous ne pouvez pas scanner le code ? ». Les espaces et les minuscules sont acceptés ; une URI `otpauth://` est acceptée entière et ses paramètres en sont lus.
Faites correspondre les paramètres
Presque tout emploie SHA-1, six chiffres et une période de 30 secondes, ce qui est le réglage par défaut ici. Quelques services emploient huit chiffres ou SHA-256 : si le code est faux et que l’horloge est juste, c’est là qu’est la différence.
Comparez avec l’application
Les deux devraient afficher les mêmes six chiffres dans la même fenêtre. Si elles diffèrent d’une fenêtre entière, l’horloge de l’appareil est décalée : TOTP est une fonction de l’heure courante, pas d’un compteur.
Questions fréquentes
Est-il sans danger de coller ici un secret de double authentification en service ?
Le secret reste dans l’onglet : le code est calculé avec le HMAC du navigateur lui-même et il n’y a aucune requête. Mais le secret à lui seul est tout le second facteur, donc ne collez pas un secret dans une page que vous n’avez pas vérifiée, et videz le champ quand vous avez fini.
Ceci peut-il remplacer mon application d’authentification ?
Non. Il ne conserve rien, donc vous colleriez le secret à chaque connexion, et garder un secret de double authentification là où vous gardez le mot de passe annule l’intérêt d’avoir deux facteurs.
Le code est refusé alors qu’il correspond à l’application.
Alors les deux sont faux ensemble, ce qui veut presque toujours dire que l’horloge de l’appareil est décalée. Les serveurs acceptent d’ordinaire une fenêtre de part et d’autre ; au-delà, synchronisez l’horloge et réessayez.
À alimenter depuis
Générateur de QR OTP
OTP QR Builder
Construit une adresse otpauth :// à partir de l’émetteur, du compte et du secret, et affiche le QR qu’une application d’authentification saura lire.
Lecteur d’export d’authentificateur
Authenticator Export Reader
Décode un QR de migration Google Authenticator et en ressort les comptes un à un avec leurs secrets.
Générateur de mots de passe
Password Generator
Produit des mots de passe aléatoires avec longueur, jeu de caractères et exclusion des caractères ambigus au choix, en série si besoin.
Générateur de phrase secrète
Passphrase Generator
Compose une phrase secrète de type diceware à partir d’une liste de mots, en affichant l’entropie en bits.
Ensuite
Ces outils acceptent ce que celui-ci produit : le résultat peut y aller directement.
Générateur de HMAC
HMAC Generator
Calcule un HMAC sur un message avec le hachage et l’encodage de clé de votre choix, pour vérifier une signature de webhook.
Lecteur d’export d’authentificateur
Authenticator Export Reader
Décode un QR de migration Google Authenticator et en ressort les comptes un à un avec leurs secrets.
Générateur de QR OTP
OTP QR Builder
Construit une adresse otpauth :// à partir de l’émetteur, du compte et du secret, et affiche le QR qu’une application d’authentification saura lire.
Lecteur de QR codes et de codes-barres
QR & Barcode Reader
Lit les QR codes et les codes-barres courants depuis une image, une capture d’écran ou la caméra.
Contrôle d’un lien suspect
Suspicious URL Check
Examine la forme d’un lien avant que vous ne l’ouvriez — caractères sosies, hôte en adresse IP, ruse de l’arobase, sous-domaines à rallonge, ports inhabituels, raccourcisseurs — et, à la demande, suit ses redirections et cherche la date de création du domaine. Aucune base de réputation.
Encodeur et décodeur Base64
Base64 Encoder & Decoder
Encode et décode en Base64 et en Base64URL, pour du texte comme pour des fichiers, avec un traitement correct de l’UTF-8.