TOTPコード生成
TOTP Code Generator
TOTPの秘密鍵から今の6桁コードを残り時間つきで出し、2段階認証の設定確認に使えます。
2要素認証のQRコードを読み取るとき、あなたは共有された秘密鍵を保存しています。そして、それが正しく保存されたかどうかは、次にログインが必要になるまでアプリからは分かりません。同じ秘密鍵をここに貼れば、いま出ているはずのコードが表示されるので、締め出される前に食い違いに気づけます。
秘密鍵はこのページのメモリーの中だけにあります。localStorage には書かず、URL にも入れず、どのサーバーにも送りません。HMAC はブラウザの crypto.subtle で計算します。タブを再読み込みすると消えますが、これは意図したものです。設定を確かめるための道具であって、秘密鍵を暗号化して保管する認証アプリの代わりではありません。
使い方
Base32の秘密鍵を貼り付けます
サイトが「QRコードを読み取れない場合」の下に出す文字列です。空白と小文字も受け付けますし、`otpauth://`のURIならそのまま受け取ってパラメータを読み取ります。
パラメータを合わせます
ほとんどのものはSHA-1、6桁、30秒の周期で、ここの既定もそれです。8桁やSHA-256を使うサービスも少数あります。時計が合っているのにコードが違うなら、差はここにあります。
アプリと見比べます
同じ時間の窓の中では、どちらも同じ6桁を表示するはずです。ちょうど窓1つぶんずれているなら、端末の時計がずれています。TOTPはカウンタではなく現在時刻の関数だからです。
よくある質問
実際に使っている2要素認証の秘密鍵をここに貼っても安全ですか。
秘密鍵はタブの中にとどまります。コードはブラウザ自身のHMACで計算し、リクエストは出しません。ただし秘密鍵だけで第2要素のすべてです。確かめていないページには貼らないでください。そして終わったら欄を空にしてください。
認証アプリの代わりになりますか。
なりません。何も保存しないので、ログインのたびに秘密鍵を貼り直すことになります。それに、2要素認証の秘密鍵をパスワードと同じ場所に置くことは、要素を2つ持つ意味そのものを損ないます。
アプリと一致しているのにコードが拒否されます。
それなら両方とも一緒に間違っているということで、ほぼ必ず端末の時計がずれています。サーバーはたいてい前後1つの窓までは受け付けます。それを超えているなら、時計を合わせてやり直してください。
ここから渡せます
OTP用QR作成
OTP QR Builder
発行者・アカウント・秘密鍵からotpauth://のURIを組み立て、認証アプリが読めるQRを描きます。
認証アプリ移行QRの解析
Authenticator Export Reader
Google Authenticatorの移行用QRを読み解き、アカウントごとの項目と秘密鍵に分けます。
パスワード生成
Password Generator
長さ・使う文字種・紛らわしい文字を除く規則を決めて、必要な本数だけランダムなパスワードを作ります。
パスフレーズ生成
Passphrase Generator
単語リストからダイスウェア方式のパスフレーズを組み、エントロピーをビットで示します。
次の一手
このツールが出したものをそのまま受け取れる道具です。
HMAC生成
HMAC Generator
ハッシュの種類と鍵の符号化を決めてメッセージのHMACを計算し、Webhookの署名確認に使えます。
認証アプリ移行QRの解析
Authenticator Export Reader
Google Authenticatorの移行用QRを読み解き、アカウントごとの項目と秘密鍵に分けます。
OTP用QR作成
OTP QR Builder
発行者・アカウント・秘密鍵からotpauth://のURIを組み立て、認証アプリが読めるQRを描きます。
QR・バーコード読み取り
QR & Barcode Reader
アップロードした画像・スクリーンショット・カメラからQRコードと主要なバーコードを読み取ります。
怪しいURLの確認
Suspicious URL Check
開く前にリンクの形（紛らわしい文字・IPそのままのホスト・@のごまかし・深いサブドメイン・妙なポート・短縮サービス）を調べ、望めばリダイレクトをたどってドメインの登録時期も引きます（評判データベースは使いません）。
Base64エンコード・デコード
Base64 Encoder & Decoder
テキストでもファイルでもBase64とBase64URLを符号化・復号し、UTF-8も正しく扱います。