Gerador de código TOTP
TOTP Code Generator
Transforma um segredo TOTP no código de seis dígitos atual com contagem regressiva, para testar configurações de 2FA — o segredo fica na aba.
Quando você escaneia um QR code de verificação em duas etapas, está armazenando um segredo compartilhado, e não há como ver pelo aplicativo se ele foi armazenado corretamente até a próxima vez que precisar fazer login. Colar o mesmo segredo aqui mostra o código que ele deveria estar produzindo agora, então uma divergência fica visível antes de você ficar trancado fora da conta.
O segredo fica na memória desta página e em nenhum outro lugar. Não é escrito no localStorage, não vai para a URL e não é enviado a servidor nenhum — o HMAC roda no seu navegador pelo crypto.subtle. Recarregar a aba perde o segredo, e isso é de propósito: esta é uma ferramenta para conferir uma configuração, não um substituto de um app autenticador que saiba guardar o segredo cifrado.
Como usar
Cole o segredo em Base32
É a string que o site mostra sob “não consegue escanear o código?”. Espaços e minúsculas são aceitos; uma URI `otpauth://` é aceita inteira, e os parâmetros são lidos dela.
Confira os parâmetros
Quase tudo usa SHA-1, seis dígitos e um período de 30 segundos, que é o padrão aqui. Alguns serviços usam oito dígitos ou SHA-256 — se o código está errado e o relógio está certo, é aqui que está a diferença.
Compare com o aplicativo
Os dois devem mostrar os mesmos seis dígitos dentro da mesma janela. Se diferem por uma janela inteira, o relógio do dispositivo está errado — o TOTP é uma função da hora atual, não de um contador.
Perguntas frequentes
É seguro colar aqui um segredo de verificação em duas etapas que está em uso?
O segredo fica na aba — o código é calculado com o HMAC do próprio navegador e não há nenhuma requisição. Mas o segredo sozinho é o segundo fator inteiro, então não cole um em uma página que você não verificou, e limpe o campo quando terminar.
Isto pode substituir meu aplicativo autenticador?
Não. Ele não armazena nada, então você estaria colando o segredo de novo a cada login, e guardar um segredo de verificação em duas etapas no mesmo lugar da senha anula o sentido de ter dois fatores.
O código é rejeitado mesmo batendo com o aplicativo.
Então os dois estão errados juntos, o que quase sempre significa que o relógio do dispositivo está fora. Os servidores normalmente aceitam uma janela para cada lado; além disso, sincronize o relógio e tente de novo.
Pode receber de
Gerador de QR para OTP
OTP QR Builder
Monta uma URI otpauth:// a partir de emissor, conta e segredo e renderiza o QR que um app autenticador consegue escanear.
Leitor de exportação do Authenticator
Authenticator Export Reader
Decodifica um QR de migração do Google Authenticator nas contas individuais e seus segredos — inteiramente no seu navegador; a saída contém segredos ativos de 2FA, então não a compartilhe.
Gerador de senhas
Password Generator
Gera senhas aleatórias com regras de comprimento, conjunto de caracteres e caracteres ambíguos, em lote se preciso — nada é transmitido nem armazenado.
Gerador de frases-senha
Passphrase Generator
Monta uma frase-senha no estilo diceware a partir de uma lista de palavras, mostrando a entropia em bits.
Em seguida
Estas aceitam o que esta ferramenta produz, então o resultado pode ir direto.
Gerador de HMAC
HMAC Generator
Calcula um HMAC sobre uma mensagem com hash e codificação da chave escolhidos, para conferir assinaturas de webhooks.
Leitor de exportação do Authenticator
Authenticator Export Reader
Decodifica um QR de migração do Google Authenticator nas contas individuais e seus segredos — inteiramente no seu navegador; a saída contém segredos ativos de 2FA, então não a compartilhe.
Gerador de QR para OTP
OTP QR Builder
Monta uma URI otpauth:// a partir de emissor, conta e segredo e renderiza o QR que um app autenticador consegue escanear.
Leitor de QR code e código de barras
QR & Barcode Reader
Lê QR codes e os códigos de barras mais comuns de uma imagem enviada, de um print ou da câmera.
Verificador de link suspeito
Suspicious URL Check
Inspeciona a forma de um link antes de você abri-lo — caracteres parecidos, hosts em IP literal, truques com @, subdomínios profundos, portas estranhas, encurtadores — e, se pedir, segue os redirecionamentos e consulta a data de registro do domínio. Sem base de reputação: sinais, não veredito.
Codificar e decodificar Base64
Base64 Encoder & Decoder
Codifica e decodifica Base64 e Base64URL para texto ou arquivos, tratando UTF-8 corretamente.