Cách dùng Tạo mã TOTP
- Dán khóa bí mật từ phần thiết lập 2FA của dịch vụ (đoạn chữ hiển thị dưới mục “Không quét được mã QR?”), hoặc nhấn Khóa ngẫu nhiên mới.
- Mã hiện tại sẽ xuất hiện kèm đồng hồ đếm ngược. Mã đổi mỗi 30 giây, giống trong ứng dụng xác thực của bạn.
- Để thử nghiệm ứng dụng của riêng bạn: sao chép liên kết otpauth:// hoặc tạo mã QR từ liên kết đó rồi quét bằng ứng dụng xác thực.
- Nhập một mã vào mục Kiểm tra mã để xem mã đó có hợp lệ ngay lúc này hay không.
TOTP hoạt động như thế nào
Mật khẩu một lần theo thời gian (TOTP, RFC 6238) là một HMAC của bước thời gian 30 giây hiện tại, được khóa bằng một khóa bí mật dùng chung. Điện thoại của bạn và máy chủ đều biết khóa bí mật này, nên cả hai tự tính ra cùng 6 số mà không cần trao đổi với nhau. Khóa bí mật chỉ được hiển thị một lần khi thiết lập, thường dưới dạng mã QR chứa liên kết otpauth://totp/…?secret=…, và được lưu trong ứng dụng xác thực của bạn.
| Cài đặt | Giá trị thường dùng | Ghi chú |
|---|---|---|
| Thuật toán | SHA-1 | Chuẩn của Google Authenticator và hầu hết dịch vụ; SHA-256/512 ít khi được ứng dụng hỗ trợ. |
| Số chữ số | 6 | Một số ngân hàng và token kiểu Steam dùng 8 số. |
| Chu kỳ | 30 giây | Mã vẫn được chấp nhận thêm một bước trước và sau, để bù lệch đồng hồ. |
Mã không khớp?
- Đồng hồ: TOTP phụ thuộc vào thời gian. Hãy bật ngày giờ tự động trên điện thoại và máy tính.
- Khóa bí mật: sao chép đúng từng ký tự; khóa là Base32 (A–Z và 2–7), nên số 0, 1 và 8 không bao giờ xuất hiện.
- Cài đặt: số chữ số, chu kỳ và thuật toán phải khớp với những gì dịch vụ đang dùng (liên kết otpauth đã ghi sẵn thông tin này).
Bảo mật
Mã được tính bằng Web Crypto tích hợp sẵn của trình duyệt, khóa bí mật không bao giờ được gửi đi đâu. Dù vậy, khóa 2FA nhạy cảm không kém mật khẩu: chỉ nên dùng công cụ này để kiểm tra khi phát triển hoặc khôi phục, đừng dùng trên máy tính dùng chung.
Xem thêm: Password Generator, HMAC Generator, QR Code Generator.
Cũng được tìm dưới tên: mã 2fa, totp generator, mã xác thực 2fa online, google authenticator online, tạo mã otp, otpauth uri, tạo khóa totp, kiểm tra mã totp.
Các công cụ dùng kèm tốt với Tạo mã TOTP
- Tạo mã Hash — Tính mã hash MD5 và SHA cho mọi văn bản hoặc file ngay lập tức, tạo chữ ký HMAC và dán checksum mong đợi để kiểm tra file tải về.
- Kiểm tra mật khẩu bị lộ — Tìm hiểu xem mật khẩu có từng xuất hiện trong các vụ rò rỉ dữ liệu đã biết hay không — hàng tỷ mật khẩu bị lộ do Have I Been Pwned thu thập.
- Giải mã JWT — Dán JSON Web Token vào đây để xem header và payload, kiểm tra thời điểm hết hạn và xác minh chữ ký.
- Kiểm tra IBAN — Kiểm tra IBAN có hợp lệ không trước khi bạn chuyển tiền hoặc lưu lại: quốc gia, độ dài theo quy định của quốc gia đó, định dạng số tài khoản và checksum mod-97.