Vai al contenuto

Lettore dell’esportazione di Authenticator

Authenticator Export Reader

Decodifica il QR di migrazione di Google Authenticator nei singoli account e nei rispettivi segreti.

Il QR di «esporta account» di Google Authenticator non è un collegamento `otpauth://`: è un payload protobuf avvolto in `otpauth-migration://` che contiene tutti gli account insieme. Questo strumento lo decodifica riportandolo alle singole voci, così si può vedere che cosa c’è in una copia di riserva, oppure spostare gli account in un’app che li accetta uno alla volta.

🔒 Funziona interamente nel tuo browserotp2famigrationbackup

Trascina qui l’immagine del QR di esportazione

Oppure incolla qui sotto il testo otpauth-migration://. La decodifica avviene nel tuo browser.

Tutto viene decodificato nel tuo browser. L’esportazione contiene segreti 2FA attivi: non incollare il risultato da nessuna parte e non condividere lo schermo finché è visibile.

Come si usa

  1. Dargli il QR dell’esportazione

    Si trascina una schermata del QR, oppure si incolla la stringa `otpauth-migration://offline?data=…` se l’immagine è già stata decodificata altrove.

  2. Leggere l’elenco degli account

    Ogni voce mostra emittente, nome dell’account, algoritmo, cifre e il segreto in Base32. Un’esportazione grande è divisa fra più codici QR, e ciascuno va decodificato a parte.

  3. Spostare quello che serve, poi distruggere l’output

    Si registra di nuovo ogni account nella nuova app con il generatore di QR per OTP, si verifica un codice e si chiude la scheda. Di questa pagina non si fanno schermate.

Domande frequenti

La decodifica avviene su un server?

No. Il QR viene letto e il protobuf analizzato nel browser, senza alcuna richiesta. Qui non è una comodità: il payload è ogni segreto 2FA attivo che si possiede.

Quanto è pericoloso l’output, esattamente?

Chiunque abbia in mano questi segreti può generare i codici a tempo indeterminato, su qualunque dispositivo, senza toccare il telefono. L’elenco decodificato va trattato come equivalente a consegnare il telefono stesso, e se dovesse trapelare vanno revocati e registrati di nuovo tutti gli account.

Non decodifica niente: il QR è illeggibile.

I QR di esportazione sono densi, quindi la fotografia di uno schermo di solito fallisce dove una schermata diretta riesce. Va ritagliato il codice, evitato il ridimensionamento e controllato che la stringa cominci con `otpauth-migration://` e non con `otpauth://`: un QR di un solo account va portato invece allo strumento TOTP.

Può ricevere da

Dopo

Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.