Generador de TOTP
Convierte un secreto base32 o una URI otpauth:// en el código 2FA actual, con cuenta atrás y los códigos anterior y siguiente.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Convierte un secreto base32, o una URI otpauth:// completa (lo que hay detrás de un código QR de 2FA), en un código TOTP/2FA en vivo, exactamente como lo haría una app de autenticación. Al pegar la URI se rellenan automáticamente el secreto, los dígitos, el periodo y el algoritmo. Elige 6 u 8 dígitos, un paso de 30 o 60 segundos y HMAC-SHA1, SHA256 o SHA512, y mira cómo cambia el código frente a una cuenta atrás, con los códigos anterior y siguiente al lado para comprobar que un servidor que acepta un paso de desfase de reloj se comporta bien. Es correcto según la RFC 6238 y se ejecuta por completo en tu navegador con la Web Crypto API: el secreto nunca se envía a ningún sitio y no se guarda nada. Está hecho para verificar o depurar una configuración 2FA que es tuya, no para sustituir a una app de autenticación. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Pega un secreto base32 de prueba o tuyo, o una URI otpauth:// completa.
- Ajusta los dígitos (6 u 8), el periodo (30 o 60 s) y el algoritmo (SHA1, SHA256 o SHA512) si no vienen en la URI.
- Lee el código actual y la cuenta atrás hasta el siguiente.
- Compara con los códigos anterior y siguiente para distinguir un desfase de reloj de un secreto o parámetro erróneo.
Preguntas frecuentes
¿Qué es un TOTP y cómo funciona una app de autenticación?
TOTP significa Time-based One-Time Password (contraseña de un solo uso basada en el tiempo) y está definido en la RFC 6238. Es una contraseña de un solo uso basada en HMAC (HOTP, RFC 4226) en la que el contador que avanza es simplemente la hora actual: el servidor y tu app de autenticación comparten una clave secreta una vez (normalmente escaneando un código QR) y después cada lado calcula por su cuenta floor(unixtime / step) como contador, aplica HMAC sobre él con el secreto compartido y trunca el resultado a un código decimal corto. Como ambos lados parten del mismo secreto y del mismo reloj, obtienen el mismo código sin volver a intercambiarlo nunca: por eso una app de autenticación funciona completamente sin conexión. El paso por defecto es de 30 segundos, así que el código cambia dos veces por minuto.
¿Qué significan los ajustes de dígitos, periodo y algoritmo?
El secreto es una clave compartida, normalmente escrita en base32 (A–Z y 2–7). El periodo (también llamado paso de tiempo) es cuánto tiempo es válido cada código: 30 segundos es casi universal, aunque algunos sistemas usan 60. Los dígitos son la longitud del código: seis dígitos es lo estándar y a veces se usan ocho para tener más entropía. El algoritmo es el hash del HMAC: casi todas las apps de autenticación y servidores usan HMAC-SHA1 (es el valor por defecto aunque SHA-1 esté obsoleto en otros usos, porque TOTP lo usa como MAC y no por su resistencia a colisiones), con SHA256 y SHA512 disponibles para los sistemas que los exigen. Los cuatro valores vienen en la URI otpauth:// codificada en el código QR de alta.
¿Qué formato tiene la URI otpauth://?
Cuando escaneas un código QR de 2FA, casi siempre contiene una URI otpauth://, por ejemplo otpauth://totp/Example:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Example&algorithm=SHA1&digits=6&period=30. La ruta después de totp/ es una etiqueta legible (emisor y cuenta), y la cadena de consulta lleva los parámetros reales: secret (base32), issuer opcional, algorithm, digits y period. Pega la URI completa en esta herramienta y extraerá el secreto y fijará los dígitos, el periodo y el algoritmo por ti, para que puedas reproducir exactamente lo que mostraría tu app de autenticación.
¿Es seguro introducir aquí mi secreto 2FA?
Un secreto TOTP es tan sensible como una contraseña: quien lo tenga puede generar tus códigos para siempre, así que trátalo con cuidado. Esta herramienta está hecha para que eso sea seguro en su único uso legítimo: verificar o depurar una configuración que es tuya. Se ejecuta por completo en tu navegador con la Web Crypto API; el secreto nunca se transmite a ningún servidor, nunca se registra y no se guarda nada cuando cierras la pestaña. Aun así, pega solo un secreto de prueba o un secreto que sea tuyo y que controles. No introduzcas nunca un secreto que pertenezca a otra persona y, si estás depurando un alta de producción, rota el secreto después si tienes alguna duda sobre el dispositivo que usaste.
¿Por qué lo usaría alguien de seguridad o de TI?
Es una herramienta defensiva para verificar tu propia configuración. Usos habituales: confirmar que un secreto TOTP recién emitido produce de verdad los códigos que espera tu servidor antes de entregárselo a un usuario; depurar un ticket de «me rechazan los códigos 2FA» comprobando si la discrepancia es un problema de desfase de reloj (compara los códigos anterior y siguiente), un número de dígitos equivocado, un periodo no estándar o un algoritmo SHA256/SHA512 que el cliente configuró mal; validar que una copia de seguridad o una migración conservó bien el secreto; y enseñar cómo funciona TOTP viendo cambiar el código frente a la cuenta atrás. No sustituye a una app de autenticación y nunca debe guardar tus secretos reales de larga duración.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.