Códigos TOTP / HOTP

Funciones

• TOTP y HOTP según RFC 6238 / RFC 4226, superando todos los vectores de prueba oficiales de ambas RFC
• ⚠️ La primera línea avisa de que no pegues un secreto que uses — un secreto TOTP es todo el segundo factor
• Algoritmo SHA-1, SHA-256 o SHA-512 (SHA-1 es lo que usan por defecto casi todos los servicios)
• Paso y número de dígitos ajustables (30 segundos y 6 dígitos por defecto, como las apps habituales)
• Muestra cuántos segundos quedan en la ventana y el valor actual del contador
• Lista los códigos de las ventanas contiguas, para ver cuánto se ha desviado el reloj de un dispositivo
• El modo HOTP acepta un contador explícito, cómodo para contrastar con los vectores de la RFC
• Los secretos admiten minúsculas, espacios o guiones, o relleno; un secreto con 0, 1, 8 o 9 se reporta como error en vez de adivinarlo

Cómo se usa

1. ⚠️ Usa el secreto de una cuenta de prueba, no uno del que dependas
2. Pega el secreto Base32
3. Ajusta algoritmo, paso y dígitos (la mayoría de servicios: SHA-1, 30 segundos, 6 dígitos)
4. Los seis dígitos deben coincidir exactamente con tu app de autenticación

Preguntas frecuentes

¿Por qué no coincide con mi app de autenticación?

Por orden de probabilidad: desfase de reloj — TOTP depende por completo de que ambos relojes concuerden, y un dispositivo desviado más de 30 segundos cae en una ventana vecina, así que activa las ventanas contiguas y mira si aparece ahí el código de tu app; parámetros distintos — algoritmo (SHA-1 / 256 / 512), paso (30 o 60 segundos) y dígitos (6 u 8) cambian el resultado; un secreto mal copiado — los secretos solo contienen A–Z y 2–7, y al copiar a mano es facilísimo escribir 0 por O o 1 por I, algo que esta herramienta rechaza en vez de rodearlo.

¿Qué diferencia hay entre TOTP y HOTP?

Solo de dónde viene el contador. HOTP usa un contador que ambos lados incrementan, uno por uso — pero en cuanto cliente y servidor se desincronizan ya no vuelven a coincidir, y cada intento fallido de inicio de sesión consume un valor. TOTP usa el tiempo como contador (la hora actual dividida entre el paso), así que mientras los relojes concuerden a grandes rasgos no hay que sincronizar estado. El precio es una ventana de 30 segundos y una dependencia estricta de un reloj exacto.

¿Qué es peor que se filtre, el secreto o un código?

El secreto. Un código caduca en 30 segundos y no sirve de nada sin tu usuario y tu contraseña. El secreto, en cambio, genera códigos válidos para siempre — quien lo tenga puede entrar cuando quiera y por tu lado no se ve nada raro. Así que un secreto filtrado es el segundo factor fallando por completo, mientras que un código filtrado solo afecta a esos 30 segundos.

¿Puede esta herramienta verificar si un código es correcto?

No, y no debería. Verificar significa enviar una candidata a un servidor, una acción en línea que este sitio estático no realiza. Lo que responde es «qué produce este secreto ahora mismo» — compáralo con tu propia app de autenticación y, si coinciden, tanto el secreto como los parámetros son correctos.