Générateur de TOTP

Qu'est-ce que Générateur de TOTP ?

Le Générateur de TOTP est un outil en ligne gratuit qui transforme un secret partagé en base32 en ce même mot de passe à usage unique basé sur le temps (TOTP) que produisent des apps comme Google Authenticator, Authy ou Microsoft Authenticator, et qui peut faire l'aller-retour avec une URI de configuration otpauth:// complète. Les développeurs et ingénieurs QA l'utilisent pour tester des flux à deux facteurs, enregistrer un compte de test en scannant son QR code, ou confirmer qu'un code saisi est valide. Il met en œuvre la RFC 6238 par-dessus le HOTP de la RFC 4226, calculant un HMAC avec le hachage SHA-1, SHA-256 ou SHA-512 que vous choisissez et appliquant une troncature dynamique à un code de 6 ou 8 chiffres qui se renouvelle à chaque période. Collez une URI otpauth:// pour remplir automatiquement le secret, l'émetteur, le compte, l'algorithme, les chiffres et la période ; le code en direct, le décompte, le QR code scannable et un vérificateur de code à fenêtre de plus/moins un pas se mettent tous à jour tout seuls.

Comment utiliser Générateur de TOTP

1. Collez un secret base32 dans le champ Secret, cliquez sur Générer un secret pour en créer un aléatoire, ou collez une URI otpauth:// et cliquez sur Remplir depuis l'URI pour renseigner tous les champs.
2. Ouvrez les réglages pour choisir l'algorithme de hachage (SHA-1, SHA-256 ou SHA-512), 6 ou 8 chiffres et la période en secondes : le code est recalculé exactement selon ces choix.
3. Ajoutez un libellé d'émetteur et de compte pour que l'URI otpauth:// et le QR code générés identifient le compte.
4. Lisez le code actuel dans le champ Code et copiez-le, ou scannez le QR code dans votre app d'authentification pour enregistrer le compte.
5. Saisissez un code dans Vérifier un code pour le comparer au code actuel et à un pas avant ou après.

Exemples

Questions fréquentes

Mon secret est-il téléversé quelque part ?

Non. Le secret base32, l'URI otpauth:// et le QR code restent dans votre navigateur. Les codes sont calculés localement avec la Web Crypto API et le QR est dessiné sur l'appareil, si bien que rien n'est envoyé ni stocké sur un serveur et que l'outil fonctionne hors ligne.

Quels algorithmes sont pris en charge ?

SHA-1, SHA-256 et SHA-512. L'algorithme choisi est utilisé pour le HMAC réel, si bien que le code correspond à un service configuré pour l'un d'eux. SHA-1 est la valeur par défaut qu'utilisent pratiquement toutes les apps d'authentification.

Comment ajouter le compte à mon app d'authentification ?

Renseignez le secret ainsi qu'un émetteur et un compte, puis scannez le QR code généré — qui encode une URI otpauth://totp — avec Google Authenticator, Authy ou une app similaire, ou téléchargez le QR en PNG. Vous pouvez aussi copier l'URI otpauth:// directement.

Que vérifie le vérificateur de code ?

Il compare le code que vous saisissez au code de la période actuelle et aux codes d'un pas avant et après (une fenêtre de plus/moins un), si bien qu'un code tout juste expiré ou un peu en avance est encore validé. Cela reflète la petite tolérance que la plupart des serveurs accordent au décalage d'horloge.

Pourquoi mon code ne correspond-il pas à mon app d'authentification ?

Le TOTP dépend de l'heure actuelle ainsi que du secret, de l'algorithme, de la longueur de chiffres et de la période exacts. Vérifiez que l'algorithme (SHA-1/256/512), les chiffres (6 ou 8) et la période (généralement 30 secondes) correspondent à votre service, que vous avez collé le secret complet et que l'horloge de votre appareil est précise.