Comment utiliser : Générateur TOTP
- Saisissez la clé secrète indiquée lors de la configuration 2FA de votre service (le texte affiché sous « Impossible de scanner le QR code ? »), ou cliquez sur Nouvelle clé aléatoire.
- Le code actuel s’affiche avec un compte à rebours ; il change toutes les 30 secondes, comme dans votre application d’authentification.
- Pour tester votre propre application : copiez le lien otpauth:// ou créez un QR code à partir de celui-ci, puis scannez-le avec une application d’authentification.
- Saisissez un code dans Vérifier un code pour savoir s’il est valide en ce moment.
Fonctionnement du TOTP
Un mot de passe à usage unique basé sur le temps (TOTP, RFC 6238) est un HMAC du pas de temps actuel de 30 secondes, calculé avec une clé partagée. Votre téléphone et le serveur connaissent tous deux le secret : ils calculent donc les mêmes 6 chiffres sans communiquer entre eux. Le secret est affiché une seule fois pendant la configuration — généralement sous forme de QR code contenant un lien otpauth://totp/…?secret=… — puis enregistré par votre application d’authentification.
| Paramètre | Valeur habituelle | Remarque |
|---|---|---|
| Algorithme | SHA-1 | Utilisé par Google Authenticator et presque tous les services ; SHA-256/512 sont rarement pris en charge par les applications. |
| Chiffres | 6 | Certaines banques et les jetons de type Steam utilisent 8. |
| Période | 30 secondes | Les codes sont acceptés pendant un pas avant et après, pour compenser la dérive de l’horloge. |
Les codes ne correspondent pas ?
- Horloge : le TOTP dépend de l’heure. Activez la date et l’heure automatiques sur votre téléphone et votre ordinateur.
- Secret : copiez-le exactement ; il est en Base32 (A–Z et 2–7) — les caractères 0, 1 et 8 n’apparaissent jamais.
- Paramètres : les chiffres, la période et l’algorithme doivent correspondre à ceux utilisés par le service (le lien otpauth les indique).
Sécurité
Les codes sont calculés avec Web Crypto, intégré à votre navigateur : le secret n’est jamais envoyé nulle part. Un secret 2FA reste toutefois aussi sensible qu’un mot de passe : utilisez cet outil pour des vérifications de développement ou de récupération, et non sur des ordinateurs partagés.
Voir aussi : Générateur de mots de passe, Générateur HMAC, Générateur de QR code.
Aussi recherché comme : générateur code 2fa, code totp, générateur code authentificateur, google authenticator en ligne, générateur otp, uri otpauth, générateur clé secrète totp, vérifier totp.
Outils complémentaires : Générateur TOTP
- Générateur de hash — Calculez instantanément les hashs MD5 et SHA de n'importe quel texte ou fichier, créez des signatures HMAC et collez un checksum attendu pour vérifier un téléchargement.
- Vérificateur de fuite de mot de passe — Découvrez si un mot de passe figure dans des fuites de données connues, parmi les milliards de mots de passe compromis recensés par Have I Been Pwned.
- Décodeur JWT — Collez un JSON Web Token pour examiner son en-tête et sa charge utile, vérifier sa date d'expiration et valider sa signature.
- Validateur IBAN — Vérifiez qu’un IBAN est valide avant d’envoyer de l’argent ou de l’enregistrer : le pays, la longueur propre à ce pays, le format du compte et la somme de contrôle mod-97.