TOTP-Generator

Was ist TOTP-Generator?

Der TOTP-Generator ist ein kostenloses Online-Tool, das ein geteiltes base32-Geheimnis in dasselbe zeitbasierte Einmalpasswort (TOTP) umwandelt, das Apps wie Google Authenticator, Authy oder Microsoft Authenticator erzeugen, und das eine vollständige otpauth://-Einrichtungs-URI hin und zurück verarbeiten kann. Entwickler und QA-Ingenieure nutzen es, um Zwei-Faktor-Abläufe zu testen, ein Testkonto durch Scannen seines QR-Codes zu registrieren oder zu bestätigen, dass ein eingegebener Code gültig ist. Es implementiert RFC 6238 auf Basis von RFC 4226 HOTP, berechnet einen HMAC mit dem gewählten SHA-1-, SHA-256- oder SHA-512-Hash und wendet dynamische Trunkierung auf einen 6- oder 8-stelligen Code an, der bei jeder Periode wechselt. Fügen Sie eine otpauth://-URI ein, um Geheimnis, Aussteller, Konto, Algorithmus, Ziffern und Periode automatisch auszufüllen; der Live-Code, der Countdown, der scannbare QR-Code und ein Code-Prüfer mit Plus-/Minus-ein-Schritt-Fenster aktualisieren sich von selbst.

So verwendest du TOTP-Generator

1. Fügen Sie ein base32-Geheimnis in das Feld Geheimnis ein, klicken Sie auf Geheimnis erzeugen für ein neues zufälliges, oder fügen Sie eine otpauth://-URI ein und klicken Sie auf Aus URI ausfüllen, um alle Felder automatisch zu füllen.
2. Öffnen Sie die Einstellungen, um den Hash-Algorithmus (SHA-1, SHA-256 oder SHA-512), 6 oder 8 Ziffern und die Periode in Sekunden zu wählen – der Code wird genau mit diesen Vorgaben neu berechnet.
3. Ergänzen Sie eine Aussteller- und Konto-Bezeichnung, damit die erzeugte otpauth://-URI und der QR-Code das Konto kennzeichnen.
4. Lesen Sie den aktuellen Code im Feld Code ab und kopieren Sie ihn, oder scannen Sie den QR-Code in Ihre Authenticator-App, um das Konto zu registrieren.
5. Geben Sie unter Code prüfen einen Code ein, um ihn gegen den aktuellen Code und einen Schritt davor oder danach zu prüfen.

Beispiele

Häufig gestellte Fragen

Wird mein Geheimnis irgendwohin hochgeladen?

Nein. Das base32-Geheimnis, die otpauth://-URI und der QR-Code bleiben in Ihrem Browser. Codes werden lokal mit der Web Crypto API berechnet und der QR wird auf dem Gerät gezeichnet, sodass nichts an einen Server gesendet oder dort gespeichert wird und das Tool offline funktioniert.

Welche Algorithmen werden unterstützt?

SHA-1, SHA-256 und SHA-512. Der gewählte Algorithmus wird für den tatsächlichen HMAC verwendet, sodass der Code zu einem Dienst passt, der für einen davon konfiguriert ist. SHA-1 ist der Standard, den praktisch alle Authenticator-Apps verwenden.

Wie füge ich das Konto zu meiner Authenticator-App hinzu?

Füllen Sie das Geheimnis sowie Aussteller und Konto aus und scannen Sie dann den erzeugten QR-Code – der eine otpauth://totp-URI kodiert – mit Google Authenticator, Authy oder einer ähnlichen App, oder laden Sie den QR als PNG herunter. Sie können die otpauth://-URI auch direkt kopieren.

Was prüft der Code-Prüfer?

Er vergleicht den eingegebenen Code mit dem Code der aktuellen Periode und den Codes einen Schritt davor und danach (ein Plus-/Minus-eins-Fenster), sodass ein gerade abgelaufener oder etwas zu früher Code weiterhin validiert wird. Das entspricht der kleinen Toleranz, die die meisten Server für Uhr-Abweichungen erlauben.

Warum stimmt mein Code nicht mit meiner Authenticator-App überein?

TOTP hängt von der aktuellen Zeit sowie vom genauen Geheimnis, Algorithmus, der Ziffernlänge und der Periode ab. Prüfen Sie, ob Algorithmus (SHA-1/256/512), Ziffern (6 oder 8) und Periode (meist 30 Sekunden) mit Ihrem Dienst übereinstimmen, ob Sie das vollständige Geheimnis eingefügt haben und ob die Uhr Ihres Geräts genau geht.