Generatore di codici TOTP
TOTP Code Generator
Trasforma un segreto TOTP nel codice a sei cifre del momento, con il conto alla rovescia, per provare una configurazione di verifica in due passaggi.
Quando si scansiona un codice QR per la 2FA si sta memorizzando un segreto condiviso, e dall’app non c’è modo di vedere se è stato memorizzato correttamente fino alla volta successiva in cui serve accedere. Incollando qui lo stesso segreto si vede il codice che l’app dovrebbe produrre in questo momento, così una discrepanza si nota prima di restare chiusi fuori.
Il segreto sta nella memoria di questa pagina e da nessun’altra parte. Non viene scritto nel localStorage, non finisce nell’URL e non viene mandato a nessun server: l’HMAC gira nel tuo browser con crypto.subtle. Ricaricare la scheda lo perde, ed è voluto: questo è uno strumento per verificare una configurazione, non il sostituto di un’app di autenticazione capace di tenere il segreto cifrato a riposo.
Come si usa
Incollare il segreto in Base32
È la stringa che un sito mostra sotto «non riesci a scansionare il codice?». Spazi e minuscole sono accettati; un URI `otpauth://` è accettato per intero e i suoi parametri vengono letti da lì.
Far corrispondere i parametri
Quasi tutto usa SHA-1, sei cifre e un periodo di 30 secondi, che è anche il valore predefinito qui. Qualche servizio usa otto cifre o SHA-256: se il codice è sbagliato e l’orologio è giusto, la differenza sta lì.
Confrontare con l’app
Le due cose devono mostrare le stesse sei cifre nella stessa finestra. Se differiscono di una finestra intera, l’orologio del dispositivo è fuori posto: il TOTP è una funzione dell’ora corrente, non di un contatore.
Domande frequenti
È sicuro incollare qui un segreto 2FA attivo?
Il segreto resta nella scheda: il codice è calcolato con l’HMAC del browser stesso e non c’è alcuna richiesta. Il segreto da solo però è l’intero secondo fattore, quindi non va incollato in una pagina che non si è controllata, e il campo va svuotato quando si è finito.
Questo può sostituire la mia app di autenticazione?
No: non conserva nulla, quindi bisognerebbe reincollare il segreto a ogni accesso, e tenere un segreto 2FA dove si tiene la password vanifica il senso stesso di avere due fattori.
Il codice viene rifiutato anche se coincide con quello dell’app.
Allora sono sbagliati tutti e due insieme, il che quasi sempre significa che l’orologio del dispositivo è fuori posto. I server di solito accettano una finestra prima e una dopo; oltre quella, va sincronizzato l’orologio e riprovato.
Può ricevere da
Creazione di QR per OTP
OTP QR Builder
Costruisce un indirizzo otpauth:// da emittente, account e segreto e disegna il QR che un’app di autenticazione sa leggere.
Lettore dell’esportazione di Authenticator
Authenticator Export Reader
Decodifica il QR di migrazione di Google Authenticator nei singoli account e nei rispettivi segreti.
Generatore di password
Password Generator
Genera password casuali con regole di lunghezza, insieme di caratteri ed esclusione dei caratteri ambigui, anche a blocchi.
Generatore di passphrase
Passphrase Generator
Costruisce una passphrase in stile diceware da un elenco di parole, mostrando l’entropia in bit.
Dopo
Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.
Generatore di HMAC
HMAC Generator
Calcola un HMAC su un messaggio con l’hash e la codifica di chiave che scegli, per verificare la firma di un webhook.
Lettore dell’esportazione di Authenticator
Authenticator Export Reader
Decodifica il QR di migrazione di Google Authenticator nei singoli account e nei rispettivi segreti.
Creazione di QR per OTP
OTP QR Builder
Costruisce un indirizzo otpauth:// da emittente, account e segreto e disegna il QR che un’app di autenticazione sa leggere.
Lettore di QR e codici a barre
QR & Barcode Reader
Legge codici QR e i codici a barre più diffusi da un’immagine caricata, da una schermata o dalla fotocamera.
Controllo di un link sospetto
Suspicious URL Check
Esamina la forma di un link prima che tu lo apra — caratteri sosia, host scritti come indirizzo IP, trucchi con la @, sottodomini profondi, porte insolite, servizi di accorciamento — e su richiesta ne segue i redirect e cerca la data di registrazione del dominio. Nessuna banca dati di reputazione.
Codificatore e decodificatore Base64
Base64 Encoder & Decoder
Codifica e decodifica in Base64 e Base64URL testo o file, trattando correttamente l’UTF-8.