Validateur TOTP
Vérifiez si un code TOTP est valide pour un secret Base32 à l’instant présent ou à un temps donné, avec une fenêtre ±pas réglable comme sur les vrais serveurs 2FA.
La clé affichée par le service lors de l’activation de la 2FA. Espaces et minuscules acceptés.
± pas autour du pas actuel ; 1 = ±30 s avec la période par défaut.
Laissez vide pour utiliser l’heure actuelle.
Vérifie d’abord le pas actuel, puis les pas précédents et suivants jusqu’au décalage autorisé, comme le font les serveurs. Un vrai serveur doit aussi refuser un code déjà utilisé.
S'exécute entièrement dans votre navigateur. Vos données ne sont jamais envoyées.
Qu'est-ce que Validateur TOTP ?
Saisissez un secret et un code pour vérifier si le code est valide maintenant, ou à un temps que vous précisez, avec la même fenêtre de dérive d’horloge que les serveurs d’authentification. Le résultat indique quel pas de temps correspond, ce qui aide à diagnostiquer des problèmes d’horloge.
Comment utiliser Validateur TOTP
- Collez la Clé secrète (Base32).
- Saisissez le Code à vérifier.
- Réglez Algorithme, Chiffres, Période (secondes) et Décalage autorisé (pas) ; éventuellement un Temps Unix (facultatif).
- Cliquez sur Vérifier et lisez le résultat.
Exemple
Secret GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ, 8 digits, Unix time 89, code 94287082, drift 1
Valid: the code matches time step -1 (clock drift).
Quand utiliser Validateur TOTP
Utilisez-le pour déboguer des connexions 2FA qui échouent, tester la fenêtre de dérive de votre implémentation ou vérifier des codes de jetons matériels. Un vrai serveur doit en plus rejeter les codes déjà utilisés.
Comment fonctionne Validateur TOTP
Le pas actuel T = floor(temps / période) est vérifié d’abord, puis T−1, T+1, T−2 … jusqu’au décalage autorisé. Le code de chaque pas est calculé avec HMAC selon les RFC 4226/6238 et comparé au code saisi. Une correspondance indique son décalage, par exemple −1 si le code vient de la fenêtre précédente de 30 secondes.
Cas d'utilisation courants
- Diagnostiquer des échecs de connexion 2FA dus à une dérive d’horloge
- Tester la fenêtre d’acceptation d’une implémentation TOTP
- Vérifier des codes d’un jeton matériel
- Enseigner le fonctionnement de la validation TOTP
Questions Fréquentes
Quelle fenêtre de dérive un serveur doit-il autoriser ?
La RFC 6238 recommande au plus un pas en arrière pour le délai réseau ; beaucoup de serveurs acceptent ±1 pas (±30 secondes).
Pourquoi un code valide est-il rejeté après la connexion ?
Les serveurs doivent mémoriser les codes utilisés et les rejeter ensuite pour empêcher les attaques par rejeu.
Peut-on valider des codes HOTP ici ?
Non, utilisez le générateur HOTP et comparez les codes pour les valeurs de compteur attendues.