Generador TOTP

Los límites, con honestidad

Esta página es una comodidad para códigos que ya son tuyos: un teléfono cargando en otra habitación, o un secreto que estás migrando entre aplicaciones de autenticación. No es un hogar seguro a largo plazo para secretos: lo que pegas vive en la memoria de esta pestaña hasta que la cierras, en una máquina cuyo resto de software también puede leer la memoria.

Un generador de códigos solo es tan fiable como el dispositivo y el navegador en el que se ejecuta. Para las cuentas que importan, guarda el secreto en una aplicación de autenticación dedicada o en una llave de hardware en un dispositivo que controles, usa esta página solo en un dispositivo de confianza y nunca en un ordenador compartido o público.

TOTP demuestra que tienes el secreto en el momento de iniciar sesión; no protege un secreto que ya se filtró. Si un secreto se pegó en un chat, un ticket o un generador del lado del servidor, trátalo como quemado: desactiva y vuelve a activar el 2FA en el servicio para emitir un secreto nuevo.

Cuándo es útil un generador TOTP en el navegador

El caso clásico es la configuración y la migración. Al activar la autenticación de dos factores, el servicio muestra un código QR y, tras un enlace de «¿no puedes escanearlo?», el secreto Base32 en bruto. Escribir ese secreto aquí y comparar el código con el que produce tu aplicación de autenticación demuestra que ambos dispositivos tienen el mismo secreto, antes de cerrar sesión y descubrir una discrepancia por las malas. La misma comprobación sirve al mover cuentas a un teléfono nuevo: vuelve a leer cada secreto, añádelo aquí y confirma que los códigos coinciden con la aplicación antigua, ventana a ventana.

También es la respuesta práctica cuando el teléfono no está a mano pero el secreto está guardado como debe en tu gestor de contraseñas: recupera el secreto, genera el código aquí e inicia sesión, sin debilitar la cuenta desactivando el 2FA. Servicios desde Google y GitHub hasta AWS y tu registrador de dominios usan el mismo esquema RFC 6238, así que un solo generador cubre todas las cuentas cuyo secreto tengas.

Qué contiene realmente el código QR

Cada código QR de autenticación es una sola línea de texto: una URI otpauth:// con el secreto, el emisor, el nombre de tu cuenta y los parámetros del código (algoritmo, dígitos, periodo). Por eso esta página acepta el enlace completo: pégalo y cada campo se rellena solo. Y por eso una captura del QR de configuración es tan sensible como la propia contraseña: quien lo escanee posee una copia permanente de tu segundo factor. Nunca compartas capturas de configuración y bórralas de las bibliotecas de fotos sincronizadas.

Dos detalles deciden si un código se acepta. El primero es el reloj: el generador y el servidor deben coincidir en la ventana actual de 30 segundos, y la mayoría de los servidores perdonan solo una ventana a cada lado, así que un reloj con un minuto de desviación falla siempre. El segundo son los parámetros: la mayoría de los servicios usan SHA-1, 6 dígitos y 30 segundos, pero algunos usan 8 dígitos o un periodo de 60 segundos; si los códigos de aquí nunca coinciden con el servicio, revisa los ajustes avanzados contra lo que indicaba su pantalla de configuración.

Términos TOTP, aclarados

TOTP. Contraseña de un solo uso basada en el tiempo (RFC 6238): un HMAC del contador de intervalos de tiempo, truncado dinámicamente a un código decimal corto.

HOTP. El algoritmo padre basado en contador (RFC 4226). TOTP es HOTP cuyo contador es el número de periodos desde la época Unix.

Base32. El alfabeto en el que se escriben la mayoría de los secretos 2FA (A–Z y 2–7). Un secreto de 32 caracteres transporta 20 bytes: 160 bits de material de clave.

otpauth://. El formato URI dentro de cada QR de configuración: tipo, etiqueta, secreto, emisor, algoritmo, dígitos y periodo, todo en una línea.

Intervalo de tiempo. Normalmente 30 segundos. El generador y el servidor deben caer en el mismo intervalo; la mayoría de los servidores también aceptan el anterior y el siguiente.

Truncamiento dinámico. El paso que convierte un HMAC de más de 20 bytes en un código corto: se cortan cuatro bytes desde un desplazamiento dado por el último medio byte del resumen.

SHA-1. Sigue siendo el hash HMAC por defecto para TOTP. La construcción sigue siendo sólida aquí porque la seguridad de HMAC no depende de la resistencia a colisiones.

Códigos de respaldo. Códigos de recuperación de un solo uso que un servicio emite al configurarlo. Saltan TOTP por completo: guárdalos como contraseñas, y nunca junto al secreto.

Desviación del reloj. La diferencia entre el reloj de un dispositivo y la hora real. Una desviación mayor que un periodo hace que cada código generado sea erróneo, por correcto que sea el secreto.

Preguntas frecuentes