Validador TOTP
Comprueba si un código TOTP es válido para un secreto Base32 en el momento actual o en uno dado, con un margen de ± pasos ajustable como el de los servidores 2FA reales.
La clave que muestra el servicio al activar la 2FA. Se admiten espacios y minúsculas.
± pasos alrededor del actual; 1 = ±30 s con el periodo por defecto.
Déjalo vacío para usar la hora actual.
Comprueba primero el paso actual y luego los anteriores y posteriores hasta el desfase permitido, como hacen los servidores. Un servidor real también debe rechazar un código ya utilizado.
Se ejecuta completamente en tu navegador. Tus datos nunca se suben.
¿Qué es Validador TOTP?
Introduce un secreto y un código para comprobar si el código es válido ahora, o en el momento que indiques, con el mismo margen de desfase de reloj que usan los servidores de autenticación. El resultado indica qué paso de tiempo coincidió, lo que ayuda a diagnosticar problemas de reloj.
Cómo usar Validador TOTP
- Pega la Clave secreta (Base32).
- Introduce el Código que comprobar.
- Ajusta Algoritmo, Dígitos, Periodo y Desfase permitido (pasos); opcionalmente, un Tiempo Unix.
- Haz clic en Validar y consulta el resultado.
Ejemplo
Secret GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ, 8 digits, Unix time 89, code 94287082, drift 1
Valid: the code matches time step -1 (clock drift).
Cuándo usar Validador TOTP
Úsalo para depurar inicios de sesión 2FA que fallan, probar el margen de desfase de tu implementación o comprobar códigos de tokens físicos. Un servidor real debe además rechazar los códigos que ya se usaron una vez.
Cómo funciona Validador TOTP
Primero se comprueba el paso actual T = floor(tiempo / periodo) y después T−1, T+1, T−2… hasta el desfase permitido. El código de cada paso se calcula con HMAC según los RFC 4226/6238 y se compara con el código introducido. Una coincidencia indica su desplazamiento, por ejemplo −1 si el código venía de la ventana de 30 segundos anterior.
Casos de Uso Comunes
- Diagnosticar inicios de sesión 2FA fallidos por desfase del reloj
- Probar el margen de aceptación de una implementación TOTP
- Verificar códigos de un token físico
- Enseñar cómo funciona la validación TOTP
Preguntas Frecuentes
¿Qué margen de desfase debe permitir un servidor?
El RFC 6238 recomienda como máximo un paso hacia atrás por el retardo de red; muchos servidores aceptan ±1 paso (±30 segundos).
¿Por qué se rechaza un código válido después de iniciar sesión?
Los servidores deben recordar los códigos usados y rechazarlos de nuevo para evitar ataques de repetición.
¿Puedo validar códigos HOTP aquí?
No, usa el generador HOTP y compara los códigos con los valores de contador que esperas.