TOTP コード生成ツール

TOTP コード生成ツールとは？

TOTP コード生成ツールは、base32 の共有シークレットを、Google Authenticator・Authy・Microsoft Authenticator などの認証アプリが生成するのと同じ時間ベースのワンタイムパスワード（TOTP）に変換する無料のオンラインツールです。開発者や QA エンジニアは、二要素認証フローのテスト、otpauth:// URI のキーが手元にあるときのアクセス復旧、QR コードをスキャンせずに 2FA 設定が正しく動くかの確認に使います。RFC 4226 の HOTP の上に RFC 6238 を実装しており、時間カウンターの HMAC-SHA1 を計算して動的トランケーションを施し、周期ごとに切り替わる 6 桁または 8 桁のコードを得ます。コードと残り秒数のカウントダウンは毎秒リアルタイムで更新され、ボタン一つで新しいテストアカウント用に暗号学的にランダムな base32 シークレットを発行できます。

TOTP コード生成ツールの使い方

1. 「シークレット」欄に base32 シークレットを貼り付けるか、「シークレット生成」を押して新しいランダムなものを作成します。空白とハイフンは無視されます。
2. サービスが求める桁数に合わせて 6 桁か 8 桁を選びます。
3. 「周期」を秒単位で設定します（30 がほぼすべての認証アプリで使われる標準値です）。
4. 「コード」欄で現在のコードを読み取ります。自動で更新され、カウントダウンが有効な残り時間を示します。
5. カウントダウンが 0 になる前にコピーボタンでコードをコピーするか、次のコードが入るのを待ちます。

使用例

よくある質問

シークレットはどこかにアップロードされますか？

いいえ。base32 シークレットはブラウザー内に留まります。コードは Web Crypto API（HMAC-SHA1）でローカルに計算され、何もサーバーに送信・保存されないため、ツールはオフラインで動作し、シークレットがページの外に出ることはありません。

コードが認証アプリと一致しないのはなぜですか？

TOTP は現在時刻と、正確なシークレット・桁数・周期に依存します。桁数（6 か 8）と周期（通常 30 秒）がサービスと一致しているか、シークレットを完全に貼り付けたか、端末の時計が正確かを確認してください。大きな時刻ずれはコードをずらします。

シークレットはどんな形式である必要がありますか？

文字 A-Z と数字 2-7 を使う base32 文字列で、otpauth:// 設定 URI や QR コードの下に表示されるエンコードと同じものです。空白・ハイフン・小文字・末尾の = パディングは受け付けます。それ以外の文字は無効として表示されます。

どのアルゴリズムと標準を使っていますか？

HMAC-SHA1 を用いて RFC 4226 の HOTP の上に RFC 6238 の TOTP を実装しています。これはほぼすべての認証アプリが使う既定値です。現在 SHA-256 や SHA-512 の派生は提供していません。

貼り付ける代わりにここでシークレットを生成できますか？

はい。「シークレット生成」は crypto.getRandomValues で暗号学的にランダムな 20 バイトのキーを作成し base32 にエンコードするので、保護したいアプリにそのまま登録できます。