Gerador TOTP
Insira um segredo e gere códigos TOTP de dois fatores no seu navegador — compatível com o Google Authenticator e outros aplicativos autenticadores.
Um código TOTP é o código de dois fatores de 6 dígitos que muda a cada 30 segundos: o aplicativo autenticador e o servidor calculam-no cada um por si a partir de um segredo partilhado e da hora atual (RFC 6238). Cole o segredo Base32 do ecrã de configuração do 2FA — ou o link otpauth:// completo — e esta página mostra o código atual, o próximo código e um anel de contagem decrescente, tudo calculado no seu navegador: o segredo nunca é enviado, armazenado nem registado. O guia como funcionam os códigos TOTP explica a matemática e o problema do relógio; combine a página com o gerador de senhas e tokens e o SSH Key Suite.
Última atualização:
🔒 Todos os cálculos são feitos localmente no seu navegador. O seu segredo nunca é enviado a nenhum servidor e nunca é armazenado.
A comparar o seu relógio com a hora do servidor…
Os seus códigos
Ainda não há contas. Adicione um segredo acima e o código dele aparece aqui, atualizando a cada período. Nada é guardado — recarregar a página limpa esta lista.
Os limites, com honestidade
Esta página é uma comodidade para códigos que já são seus — um telemóvel a carregar noutra divisão, ou um segredo que está a migrar entre aplicações autenticadoras. Não é um lar seguro a longo prazo para segredos: o que cola vive na memória deste separador até o fechar, numa máquina cujo restante software também consegue ler a memória.
Um gerador de códigos só é tão fiável quanto o dispositivo e o navegador em que corre. Para as contas que importam, mantenha o segredo numa aplicação autenticadora dedicada ou numa chave de hardware num dispositivo que controla, use esta página apenas num dispositivo de confiança e nunca num computador partilhado ou público.
O TOTP prova que detém o segredo no momento do início de sessão; não protege um segredo que já vazou. Se um segredo foi colado num chat, num ticket ou num gerador do lado do servidor, trate-o como queimado: desative e volte a ativar o 2FA no serviço para emitir um segredo novo.
Quando um gerador TOTP no navegador é a ferramenta certa
O caso clássico é a configuração e a migração. Ao ativar a autenticação de dois fatores, o serviço mostra um código QR e, atrás de um link «não consegue ler?», o segredo Base32 em bruto. Escrever esse segredo aqui e comparar o código com o que a sua aplicação autenticadora produz prova que ambos os dispositivos têm o mesmo segredo — antes de terminar sessão e descobrir uma divergência da pior maneira. A mesma verificação serve ao mover contas para um telemóvel novo: releia cada segredo, adicione-o aqui e confirme que os códigos coincidem com a aplicação antiga, janela a janela.
É também a resposta prática quando o telemóvel não está à mão mas o segredo está devidamente guardado no seu gestor de senhas: recupere o segredo, gere o código aqui e inicie sessão — sem enfraquecer a conta ao desativar o 2FA. Serviços da Google e do GitHub à AWS e ao seu registador de domínios usam todos o mesmo esquema RFC 6238, por isso um só gerador cobre todas as contas cujo segredo detenha.
O que o código QR realmente contém
Cada código QR de autenticador é uma única linha de texto: um URI otpauth:// com o segredo, o emissor, o nome da sua conta e os parâmetros do código (algoritmo, dígitos, período). É por isso que esta página aceita o link completo — cole-o e cada campo preenche-se sozinho. E é também por isso que uma captura de ecrã do QR de configuração é tão sensível quanto a própria senha: quem o ler fica com uma cópia permanente do seu segundo fator. Nunca partilhe capturas de configuração e apague-as das bibliotecas de fotos sincronizadas.
Dois detalhes decidem se um código é aceite. O primeiro é o relógio: o gerador e o servidor têm de coincidir na janela atual de 30 segundos, e a maioria dos servidores perdoa apenas uma janela para cada lado, por isso um relógio com um minuto de desvio falha sempre. O segundo são os parâmetros: a maioria dos serviços usa SHA-1, 6 dígitos e 30 segundos, mas alguns usam 8 dígitos ou um período de 60 segundos — se os códigos daqui nunca coincidirem com o serviço, verifique as definições avançadas contra o que o ecrã de configuração dele indicava.
Termos TOTP, esclarecidos
TOTP. Senha de uso único baseada no tempo (RFC 6238): um HMAC do contador de passos de tempo, truncado dinamicamente para um código decimal curto.
HOTP. O algoritmo pai baseado em contador (RFC 4226). O TOTP é o HOTP cujo contador é o número de períodos desde a época Unix.
Base32. O alfabeto em que a maioria dos segredos 2FA é escrita (A–Z e 2–7). Um segredo de 32 caracteres transporta 20 bytes — 160 bits — de material de chave.
otpauth://. O formato de URI dentro de cada QR de configuração: tipo, etiqueta, segredo, emissor, algoritmo, dígitos e período, tudo numa linha.
Passo de tempo. Normalmente 30 segundos. O gerador e o servidor têm de cair no mesmo passo; a maioria dos servidores também aceita o passo anterior e o seguinte.
Truncamento dinâmico. O passo que transforma um HMAC de mais de 20 bytes num código curto: cortam-se quatro bytes a partir de um deslocamento dado pelo último meio byte do resumo.
SHA-1. Continua a ser o hash HMAC predefinido para TOTP. A construção mantém-se sólida aqui porque a segurança do HMAC não depende da resistência a colisões.
Códigos de reserva. Códigos de recuperação de uso único que um serviço emite na configuração. Contornam o TOTP por completo — guarde-os como senhas, e nunca junto ao segredo.
Desvio do relógio. A diferença entre o relógio de um dispositivo e a hora real. Um desvio maior do que um período torna cada código gerado errado, por mais correto que o segredo seja.
Perguntas frequentes
É seguro gerar códigos 2FA num navegador?
Nesta página, o segredo nunca sai do seu navegador: os códigos são calculados na memória da página com WebCrypto, nada é enviado, armazenado ou registado, e recarregar apaga o segredo. O padrão inseguro é um gerador do lado do servidor, onde o seu segredo atravessa a rede e fica nos registos e bases de dados de outra pessoa. Mesmo localmente, use um dispositivo de confiança — o segredo só é tão seguro quanto a máquina onde é escrito.
Por que é que o meu código é rejeitado?
Na maioria das vezes, o relógio: se o dispositivo que gera o código e o servidor discordarem sobre a janela atual de 30 segundos, todos os códigos estão errados. Veja o cartão do relógio nesta página e ative a data e hora automáticas. Os suspeitos seguintes são os parâmetros (um serviço que usa 8 dígitos ou um período de 60 segundos) e um segredo obsoleto — se reativou o 2FA, o segredo antigo morreu nesse momento.
Qual é a diferença entre TOTP e HOTP?
O contador. O HOTP (RFC 4226) incrementa um contador a cada utilização; o TOTP (RFC 6238) deriva o contador do relógio, por isso os códigos expiram sozinhos. As aplicações autenticadoras e esta página falam TOTP. Links HOTP baseados em contador existem, mas esta página recusa-os abertamente em vez de inventar um código.
Isto pode substituir a minha aplicação autenticadora?
Enquanto a página estiver aberta, produz códigos idênticos — a matemática é a mesma. Como lar permanente, não: aqui nada persiste, por design, e um separador do navegador não é onde um segredo de longa duração deve viver. Mantenha o segredo na sua aplicação autenticadora ou gestor de senhas e use esta página para verificações de configuração, migrações e emergências.
Uma vez colei o meu segredo num chat. E agora?
Trate-o como vazado. Os chats são registados, sincronizados e pesquisáveis, e quem tiver o segredo pode gerar os seus códigos para sempre. Vá ao serviço, desative a autenticação de dois fatores e volte a ativá-la para emitir um segredo novo, volte a registar o seu autenticador e reveja a atividade recente da conta. Depois verifique a própria senha na verificação de senhas vazadas.