Generatore TOTP — Codice Authenticator 2FA in Tempo Reale

Questo strumento genera codici TOTP (Time-based One-Time Password) autentici e conformi agli standard a partire da un secret in Base32, le stesse sei cifre rotanti mostrate da app come Google Authenticator o Authy. Incolla il secret che hai ricevuto durante l'attivazione dell'autenticazione a due fattori — la stessa stringa normalmente nascosta dietro un codice QR — e osserva il codice attivo contare e rinnovarsi ogni 30 secondi, esattamente come farebbe in un'app sullo smartphone. È pensato per testare e verificare secret 2FA che possiedi o controlli: per eseguire il debug di un flusso di login che stai sviluppando, per confermare un codice di backup prima di eliminare un QR di provisioning, o per ricontrollare che un secret sia stato inserito correttamente.

Sotto il cofano si tratta di una vera implementazione di RFC 6238 (TOTP) basata su RFC 4226 (HOTP), non di un countdown di facciata. Il secret in Base32 viene decodificato secondo RFC 4648 in byte grezzi della chiave, il tempo Unix corrente viene diviso per l'intervallo per ottenere un contatore mobile, e tale contatore viene codificato come buffer big-endian di 8 byte. L'API nativa Web Crypto del browser (crypto.subtle) calcola un HMAC su quel buffer con l'hash scelto — SHA-1 rimane lo standard quasi universale per compatibilità con le app authenticator esistenti, mentre SHA-256 e SHA-512 sono disponibili per configurazioni che supportano le varianti più robuste. La troncatura dinamica di RFC 4226 estrae quindi quattro byte dall'output HMAC a partire da un offset ricavato dal suo ultimo byte, azzera il bit più significativo e riduce il risultato modulo 10^6 o 10^8 per produrre il codice a 6 o 8 cifre — la stessa identica aritmetica eseguita internamente dall'app authenticator sul tuo telefono.

Ogni fase del processo avviene in locale: non esiste alcun componente server, nessun beacon di analisi che veicoli il tuo secret e nessuna chiamata API esterna di qualsiasi tipo. Il testo Base32 che incolli nel campo viene analizzato direttamente da JavaScript in esecuzione nella tua scheda e non la abbandona mai. Questo lo rende un modo sicuro per verificare un secret 2FA su una macchina di cui ti fidi, anche se, come per qualsiasi strumento che ha a che fare con materiale di autenticazione, dovresti comunque evitare di incollare secret su computer condivisi o pubblici e usarlo esclusivamente su codici legati ad account che possiedi o che sei esplicitamente autorizzato a testare.

I controlli per algoritmo, numero di cifre e intervallo di tempo esistono perché le implementazioni reali di TOTP non sono perfettamente uniformi: la maggior parte dei servizi consumer usa SHA-1 con 6 cifre e un intervallo di 30 secondi, ma alcuni strumenti enterprise o per sviluppatori emettono secret SHA-256 o SHA-512, codici a 8 cifre o intervalli di tempo non standard come 15 o 60 secondi. Far corrispondere queste impostazioni a quanto specificato da un URI di provisioning o da una pagina di configurazione ti consente di riprodurre esattamente il codice che la tua app authenticator mostrerebbe, cosa utilissima quando stai implementando il tuo server di verifica TOTP e hai bisogno di un riferimento offline affidabile con cui confrontarlo.