TOTP コード生成ツール

TOTP コード生成ツールとは？

TOTP コード生成ツールは、base32 の共有シークレットを Google Authenticator・Authy・Microsoft Authenticator などが生成するのと同じ時間ベースのワンタイムパスワード（TOTP）に変換し、さらに完全な otpauth:// 設定 URI を相互変換できる無料のオンラインツールです。開発者や QA エンジニアは、二要素認証フローのテスト、QR コードのスキャンによるテストアカウント登録、入力したコードの有効性確認に使います。RFC 4226 の HOTP の上に RFC 6238 を実装し、選んだ SHA-1・SHA-256・SHA-512 ハッシュで HMAC を計算して動的トランケーションを施し、周期ごとに切り替わる 6 桁または 8 桁のコードを得ます。otpauth:// URI を貼り付ければシークレット・発行者・アカウント・アルゴリズム・桁数・周期が自動入力され、ライブコード・カウントダウン・スキャン可能な QR コード・±1 ステップのコード検証がすべて自動で更新されます。

TOTP コード生成ツールの使い方

1. 「シークレット」欄に base32 シークレットを貼り付ける、「シークレット生成」で新しいランダム値を作る、または otpauth:// URI を貼り付けて「URI から入力」を押すと全項目が自動入力されます。
2. 設定を開いてハッシュアルゴリズム（SHA-1・SHA-256・SHA-512）、6 桁か 8 桁、周期（秒）を選びます。コードはその選択どおりに再計算されます。
3. 発行者とアカウントのラベルを付けて、生成される otpauth:// URI と QR コードがアカウントを識別できるようにします。
4. 「コード」欄で現在のコードを読み取ってコピーするか、QR コードを認証アプリで読み取ってアカウントを登録します。
5. 「コード検証」にコードを入力し、現在のコードとその前後 1 ステップと照合します。

使用例

よくある質問

シークレットはどこかにアップロードされますか？

いいえ。base32 シークレット・otpauth:// URI・QR コードはすべてブラウザー内に留まります。コードは Web Crypto API でローカルに計算され、QR も端末上で描画されるため、何もサーバーに送信・保存されず、ツールはオフラインで動作します。

どのアルゴリズムに対応していますか？

SHA-1・SHA-256・SHA-512 です。選んだアルゴリズムが実際の HMAC に使われるため、そのいずれかで設定されたサービスとコードが一致します。SHA-1 はほぼすべての認証アプリが使う既定値です。

認証アプリにアカウントを追加するには？

シークレットと発行者・アカウントを入力し、生成された QR コード（otpauth://totp URI を符号化）を Google Authenticator・Authy などで読み取るか、QR を PNG でダウンロードします。otpauth:// URI を直接コピーすることもできます。

コード検証は何を確認しますか？

入力したコードを、現在の周期のコードと前後 1 ステップのコード（±1 の窓）と比較します。そのため、ちょうど期限切れになったコードや少し早いコードも有効になります。多くのサーバーが時計ずれに許す小さな許容範囲と同じ考え方です。

コードが認証アプリと一致しないのはなぜですか？

TOTP は現在時刻と、正確なシークレット・アルゴリズム・桁数・周期に依存します。アルゴリズム（SHA-1/256/512）・桁数（6 か 8）・周期（通常 30 秒）がサービスと一致するか、シークレットを完全に貼り付けたか、端末の時計が正確かを確認してください。