TOTP जेनरेटर
सीक्रेट डालें और अपने ब्राउज़र में ही TOTP दो-कारक कोड बनाएँ — Google Authenticator और अन्य प्रमाणक ऐप्स के साथ संगत।
TOTP कोड वह 6-अंकों वाला दो-कारक कोड है जो हर 30 सेकंड में बदलता है: प्रमाणक ऐप और सर्वर इसे साझा सीक्रेट और वर्तमान समय से स्वतंत्र रूप से गणना करते हैं (RFC 6238)। 2FA सेटअप स्क्रीन का Base32 सीक्रेट — या पूरा otpauth:// लिंक — चिपकाएँ, और यह पृष्ठ वर्तमान कोड, अगला कोड और उलटी गिनती की रिंग दिखाता है; सारी गणना आपके ब्राउज़र में होती है: सीक्रेट कभी भेजा, संग्रहीत या लॉग नहीं होता। गाइड TOTP कोड कैसे काम करते हैं गणित और घड़ी की समस्या समझाती है; साथ में पासवर्ड और टोकन जनरेटर और SSH Key Suite का उपयोग करें।
अंतिम अपडेट:
🔒 सभी गणनाएँ आपके ब्राउज़र में स्थानीय रूप से होती हैं। आपका सीक्रेट कभी किसी सर्वर पर नहीं भेजा जाता और कभी संग्रहीत नहीं होता।
सर्वर समय से आपकी घड़ी की जाँच हो रही है…
आपके कोड
अभी कोई खाता नहीं है। ऊपर एक सीक्रेट जोड़ें और उसका कोड यहाँ दिखाई देगा, हर अवधि में ताज़ा होता रहेगा। कुछ भी सहेजा नहीं जाता — पेज रीलोड करने से यह सूची साफ़ हो जाती है।
ईमानदार सीमाएँ
यह पेज उन कोड के लिए एक सुविधा है जो पहले से आपके हैं — दूसरे कमरे में चार्ज हो रहा फ़ोन, या ऑथेंटिकेटर ऐप्स के बीच स्थानांतरित हो रहा सीक्रेट। यह सीक्रेट के लिए सुरक्षित दीर्घकालिक घर नहीं है: जो आप चिपकाते हैं वह इस टैब की मेमोरी में तब तक रहता है जब तक आप इसे बंद नहीं करते, उस मशीन पर जिसका अन्य सॉफ़्टवेयर भी मेमोरी पढ़ सकता है।
कोई कोड जेनरेटर उतना ही विश्वसनीय है जितना वह डिवाइस और ब्राउज़र जिसमें वह चलता है। जो खाते मायने रखते हैं, उनके लिए सीक्रेट को किसी समर्पित ऑथेंटिकेटर ऐप या आपके नियंत्रण वाले डिवाइस पर हार्डवेयर कुंजी में रखें, इस पेज का उपयोग केवल विश्वसनीय डिवाइस पर करें, और साझा या सार्वजनिक कंप्यूटर पर कभी न करें।
TOTP साबित करता है कि लॉगिन के समय आपके पास सीक्रेट है; यह पहले से लीक हो चुके सीक्रेट की रक्षा नहीं करता। यदि कोई सीक्रेट चैट, टिकट या सर्वर-साइड जेनरेटर में चिपकाया गया था, तो उसे जला हुआ मानें: सेवा पर 2FA बंद करके फिर चालू करें ताकि नया सीक्रेट बने।
ब्राउज़र TOTP जेनरेटर कब सही टूल होता है
क्लासिक मामला सेटअप और स्थानांतरण है। जब आप दो-कारक प्रमाणीकरण चालू करते हैं, सेवा एक QR कोड दिखाती है और, "स्कैन नहीं हो रहा?" लिंक के पीछे, कच्चा Base32 सीक्रेट। वह सीक्रेट यहाँ लिखकर कोड की तुलना अपने ऑथेंटिकेटर ऐप के कोड से करना साबित करता है कि दोनों डिवाइस के पास एक ही सीक्रेट है — लॉग आउट करके कठिन तरीके से बेमेल पता चलने से पहले। खातों को नए फ़ोन पर ले जाते समय भी यही जाँच काम करती है: हर सीक्रेट फिर से पढ़ें, यहाँ जोड़ें, और पुराने ऐप से कोड का विंडो-दर-विंडो मेल确认 करें।
यह उस समय का भी व्यावहारिक उत्तर है जब फ़ोन हाथ में न हो लेकिन सीक्रेट आपके पासवर्ड मैनेजर में ठीक से रखा हो: सीक्रेट निकालें, यहाँ कोड बनाएँ, और साइन इन करें — 2FA बंद करके खाते को कमज़ोर किए बिना। Google और GitHub से लेकर AWS और आपके डोमेन रजिस्ट्रार तक, सभी सेवाएँ एक ही RFC 6238 योजना का उपयोग करती हैं, इसलिए एक जेनरेटर उन सभी खातों को कवर करता है जिनका सीक्रेट आपके पास है।
QR कोड में वास्तव में क्या होता है
हर ऑथेंटिकेटर QR कोड पाठ की एक ही पंक्ति है: एक otpauth:// URI जिसमें सीक्रेट, जारीकर्ता, आपका खाता नाम और कोड पैरामीटर (एल्गोरिदम, अंक, अवधि) होते हैं। इसीलिए यह पेज पूरा लिंक स्वीकार करता है — इसे चिपकाएँ और हर फ़ील्ड खुद भर जाता है। इसीलिए सेटअप QR कोड का स्क्रीनशॉट पासवर्ड जितना ही संवेदनशील है: जो कोई इसे स्कैन करता है उसके पास आपके दूसरे कारक की स्थायी प्रतिलिपि होती है। सेटअप स्क्रीनशॉट कभी साझा न करें, और उन्हें सिंक की गई फ़ोटो लाइब्रेरी से हटा दें।
दो विवरण तय करते हैं कि कोड स्वीकार होगा या नहीं। पहला है घड़ी: जेनरेटर और सर्वर को वर्तमान 30-सेकंड विंडो पर सहमत होना चाहिए, और अधिकांश सर्वर दोनों ओर केवल एक विंडो की छूट देते हैं, इसलिए एक मिनट इधर-उधर हुई घड़ी हर बार विफल होती है। दूसरा हैं पैरामीटर: अधिकांश सेवाएँ SHA-1, 6 अंक और 30 सेकंड का उपयोग करती हैं, लेकिन कुछ 8 अंक या 60-सेकंड अवधि का उपयोग करती हैं — यदि यहाँ के कोड सेवा से कभी न मिलें, तो उसकी सेटअप स्क्रीन में बताए गए के अनुसार उन्नत सेटिंग जाँचें।
TOTP शब्द, स्पष्ट रूप से
TOTP. समय-आधारित एकबारगी पासवर्ड (RFC 6238): समय-चरण काउंटर का HMAC, जिसे गतिशील रूप से काटकर एक छोटा दशमलव कोड बनाया जाता है।
HOTP. काउंटर-आधारित मूल एल्गोरिदम (RFC 4226)। TOTP वह HOTP है जिसका काउंटर Unix युग से अवधियों की संख्या है।
Base32. वह वर्णमाला जिसमें अधिकांश 2FA सीक्रेट लिखे जाते हैं (A–Z और 2–7)। 32-अक्षरों का सीक्रेट 20 बाइट — 160 बिट — कुंजी सामग्री रखता है।
otpauth://. हर सेटअप QR कोड के अंदर का URI प्रारूप: प्रकार, लेबल, सीक्रेट, जारीकर्ता, एल्गोरिदम, अंक और अवधि, सब एक पंक्ति में।
समय चरण. आमतौर पर 30 सेकंड। जेनरेटर और सर्वर को एक ही चरण में होना चाहिए; अधिकांश सर्वर पहले और बाद का चरण भी स्वीकार करते हैं।
गतिशील काट-छाँट. वह चरण जो 20+ बाइट के HMAC को छोटे कोड में बदलता है: डाइजेस्ट के अंतिम आधे बाइट से मिले ऑफ़सेट से चार बाइट काटे जाते हैं।
SHA-1. TOTP के लिए अब भी डिफ़ॉल्ट HMAC हैश। यह निर्माण यहाँ अब भी मज़बूत है क्योंकि HMAC सुरक्षा टकराव-प्रतिरोध पर निर्भर नहीं करती।
बैकअप कोड. सेटअप के समय सेवा द्वारा जारी एकबारगी पुनर्प्राप्ति कोड। ये TOTP को पूरी तरह बायपास करते हैं — इन्हें पासवर्ड की तरह रखें, और सीक्रेट के साथ कभी नहीं।
घड़ी विचलन. डिवाइस घड़ी और वास्तविक समय के बीच का अंतर। एक अवधि से अधिक का विचलन हर बनाए गए कोड को गलत कर देता है, चाहे सीक्रेट कितना भी सही हो।
अक्सर पूछे जाने वाले प्रश्न
क्या ब्राउज़र में 2FA कोड बनाना सुरक्षित है?
इस पेज पर सीक्रेट आपके ब्राउज़र को कभी नहीं छोड़ता: कोड WebCrypto से पेज की मेमोरी में गणना किए जाते हैं, कुछ भी अपलोड, संग्रहीत या लॉग नहीं होता, और रीफ़्रेश करते ही सीक्रेट मिट जाता है। असुरक्षित पैटर्न सर्वर-साइड जेनरेटर है, जहाँ आपका सीक्रेट नेटवर्क पार करके किसी और के लॉग और डेटाबेस में बैठ जाता है। स्थानीय रूप से भी, केवल विश्वसनीय डिवाइस का उपयोग करें — सीक्रेट उतना ही सुरक्षित है जितनी वह मशीन जिस पर वह लिखा गया।
मेरा कोड अस्वीकृत क्यों हो रहा है?
अक्सर घड़ी: यदि कोड बनाने वाला डिवाइस और सर्वर वर्तमान 30-सेकंड विंडो पर असहमत हों, तो हर कोड गलत होता है। इस पेज पर घड़ी कार्ड देखें और स्वचालित दिनांक व समय चालू करें। अगले संदिग्ध हैं पैरामीटर (8 अंक या 60-सेकंड अवधि का उपयोग करने वाली सेवा) और पुराना सीक्रेट — यदि आपने 2FA फिर से चालू किया, तो पुराना सीक्रेट उसी क्षण मर गया।
TOTP और HOTP में क्या अंतर है?
काउंटर। HOTP (RFC 4226) हर उपयोग पर एक काउंटर बढ़ाता है; TOTP (RFC 6238) काउंटर को घड़ी से निकालता है, इसलिए कोड अपने आप समाप्त हो जाते हैं। ऑथेंटिकेटर ऐप और यह पेज TOTP बोलते हैं। काउंटर-आधारित HOTP लिंक मौजूद हैं, लेकिन यह पेज कोड गढ़ने के बजाय उन्हें खुलकर अस्वीकार करता है।
क्या यह मेरे ऑथेंटिकेटर ऐप की जगह ले सकता है?
जब तक पेज खुला है, यह समान कोड बनाता है — गणित एक ही है। स्थायी घर के रूप में, नहीं: यहाँ डिज़ाइन के अनुसार कुछ भी स्थायी नहीं रहता, और ब्राउज़र टैब वह जगह नहीं है जहाँ दीर्घजीवी सीक्रेट को रहना चाहिए। सीक्रेट को अपने ऑथेंटिकेटर ऐप या पासवर्ड मैनेजर में रखें और इस पेज का उपयोग सेटअप जाँच, स्थानांतरण और आपात स्थिति के लिए करें।
मैंने एक बार अपना सीक्रेट चैट में चिपका दिया था। अब क्या?
इसे लीक हुआ मानें। चैट लॉग होते हैं, सिंक होते हैं और खोजे जा सकते हैं, और जिसके पास सीक्रेट है वह आपके कोड हमेशा बना सकता है। सेवा पर जाएँ, दो-कारक प्रमाणीकरण बंद करके फिर चालू करें ताकि नया सीक्रेट बने, अपना ऑथेंटिकेटर फिर से नामांकित करें, और खाते की हाल की गतिविधि जाँचें। फिर पासवर्ड को स्वयं पासवर्ड ब्रीच जाँच में देखें।