Receba seu código 2FA
Autenticador 2FA - Gerador de códigos TOTP online
Cole uma chave secreta TOTP ou um link otpauth e leia seu código de 6 dígitos atual, com contagem regressiva ao vivo. Tudo roda no seu navegador.
A autenticação de dois fatores (2FA) adiciona uma segunda etapa ao login: depois da senha, o site pede um código curto que muda a cada 30 segundos. Esta página é um autenticador 2FA gratuito baseado no navegador que transforma sua chave secreta nesse código de 6 dígitos na hora. Funciona do mesmo jeito que o Google Authenticator ou o Authy, só que sem aplicativo para instalar e sem que nada saia do seu dispositivo.
O que esta ferramenta faz
A maior parte do 2FA de hoje usa TOTP - senha de uso único baseada em tempo (Time-based One-Time Password). Quando você ativa o 2FA em uma conta, o serviço fornece uma chave secreta (uma sequência curta de letras e números, geralmente exibida como código QR). Seu aplicativo autenticador guarda essa chave e, a cada 30 segundos, combina-a com a hora atual para produzir um novo código de 6 dígitos. O servidor faz o mesmo cálculo do lado dele, então os dois chegam ao mesmo número sem nunca trocá-lo.
Esta página executa exatamente esse cálculo. Cole sua chave secreta (ou um link otpauth:// completo) e ela calcula o código localmente usando o algoritmo TOTP padrão definido na RFC 6238. Como a matemática roda inteiramente no seu navegador por meio da API Web Crypto, é uma alternativa privada e sem instalação a um aplicativo dedicado quando você só precisa ler o código atual - por exemplo, em um computador quando o celular não está por perto.
Como usar
- Abra a página de configuração do 2FA do serviço que você quer proteger (geralmente em Configurações -> Segurança -> Autenticação de dois fatores).
- Copie sua chave secreta - o código de texto mostrado ao lado da imagem QR - ou copie o link otpauth completo, se o serviço oferecer um.
- Cole no campo acima e clique em Gerar código.
- Leia o código de 6 dígitos e digite-o no site antes que o anel de contagem regressiva termine. Quando o cronômetro reinicia, a ferramenta gera o próximo código automaticamente.
Onde encontro minha chave secreta?
Quando um site orienta você a ativar o 2FA, ele mostra um código QR para os aplicativos autenticadores escanearem. Logo abaixo (ou ao lado) dessa imagem QR quase sempre há um link como "Não consegue escanear o código? Digite esta chave manualmente". Ao clicar, aparece uma sequência de texto como JBSW Y3DP EHPK 3PXP. Esse texto é a sua chave secreta - exatamente o que você cola no campo acima. Espaços e maiúsculas/minúsculas não importam; a ferramenta limpa tudo para você.
Se o serviço permite exportar ou copiar um link otpauth://totp/... completo, você pode colá-lo no lugar - a ferramenta lê a chave secreta, o número de dígitos, o período e o algoritmo direto do link.
Como usar com uma conta nova
Aqui está a armadilha comum. Você se cadastra em um serviço novo usando um número de telefone temporário, verifica com o SMS de uso único e entra. Ótimo - mas você não poderá reutilizar esse número depois. Se a conta então oferecer 2FA por SMS, você estaria amarrando seu login a um número que não controla mais, o que pode te deixar trancado para fora de vez.
A solução é mudar para o 2FA TOTP por aplicativo assim que a conta for criada. O TOTP não depende do seu número de telefone - ele só precisa da chave secreta. Então, durante a configuração, escolha "Aplicativo autenticador" em vez de "Mensagem de texto", guarde a chave secreta em um lugar seguro e use-a aqui (ou em um aplicativo autenticador de verdade) para gerar códigos. Seus logins continuam seguros mesmo com o número original fora do ar há muito tempo.
Se você está criando essa conta agora, pegue um número virtual para o cadastro inicial em sms.1mail.lt, combine-o com uma identidade gerada limpa e uma caixa de entrada descartável do 1mail.lt e mude a conta imediatamente para o 2FA TOTP usando a chave que você salvar.
Isso é seguro?
Sim, no sentido que mais importa: sua chave secreta nunca sai do seu dispositivo. O código é calculado com o mecanismo Web Crypto nativo do navegador, não há nenhuma requisição de rede carregando sua chave e nada é gravado em disco - sem cookies, sem localStorage. Feche a aba e acabou.
Dito isso, esta ferramenta foi feita para obter um código rapidamente - quando você está no computador, sem o celular por perto, ou só quer testar se uma chave é válida. Não é um lugar para armazenar permanentemente suas chaves 2FA. Para uso de longo prazo, mantenha suas chaves em um aplicativo autenticador dedicado ou em um gerenciador de senhas com TOTP embutido, de preferência com backup criptografado. Trate sua chave secreta como uma senha: qualquer pessoa que a tiver pode gerar seus códigos.
Combine um número novo com uma identidade gerada e um e-mail temporário do 1mail.lt e proteja a conta com 2FA TOTP desde o primeiro dia.
Perguntas frequentes
Minha chave secreta é enviada para algum lugar?
Não. O código de 6 dígitos é calculado inteiramente dentro do seu navegador usando a API Web Crypto. Sua chave secreta nunca é enviada, nunca é registrada e nunca é armazenada - nem em cookies, nem em localStorage. Ao fechar ou recarregar a página, ela é apagada da memória.
O que é TOTP?
TOTP significa senha de uso único baseada em tempo (Time-based One-Time Password, RFC 6238). Ele combina uma chave secreta compartilhada com a hora atual - dividida em janelas de 30 segundos - e executa um hash HMAC para produzir um código numérico curto. Como você e o servidor conhecem a chave e a hora, os dois calculam o mesmo código sem nunca transmiti-lo. É o padrão por trás de praticamente todo 2FA de "aplicativo autenticador".
Funciona como o Google Authenticator?
Sim. Google Authenticator, Authy, Microsoft Authenticator e esta ferramenta implementam o mesmo padrão TOTP. Com a mesma chave secreta no mesmo instante, todos produzem códigos idênticos. A diferença é que esses aplicativos guardam suas chaves no celular, enquanto esta página apenas calcula o código atual na hora e não guarda nada.
Por que meu código é rejeitado?
O TOTP é baseado em tempo, então o culpado de sempre é um relógio errado. Se a hora do seu dispositivo estiver desviada mais de uns 30 segundos, o código não vai bater - configure o relógio para hora automática/de rede e tente de novo. Lembre também que cada código só vale pela sua janela de 30 segundos: se o anel de contagem está quase vazio, espere o próximo código em vez de enviar o que está expirando. Por fim, confira se você colou a chave completa e correta, sem caracteres faltando.
Posso usar links otpauth ou exportação por QR?
Sim. Se o serviço fornece um link otpauth://totp/... (alguns deixam copiar ou exportar), cole o link inteiro no campo. A ferramenta lê a chave secreta e os parâmetros de dígitos, período e algoritmo diretamente dele. Se você só tem o código QR, use a opção "digite esta chave manualmente" da tela de configuração para revelar a chave em texto e cole-a.