Validador TOTP
Verifique se um código TOTP é válido para uma chave Base32 no momento atual ou em um horário informado, com uma janela de ±passos ajustável como a dos servidores 2FA reais.
A chave exibida pelo serviço ao ativar a 2FA. Espaços e minúsculas são aceitos.
± passos em torno do atual; 1 = ±30 s com o período padrão.
Deixe vazio para usar a hora atual.
Verifica primeiro o passo atual e depois os anteriores e posteriores até o desvio permitido, como fazem os servidores. Um servidor real também deve recusar um código já utilizado.
Executa totalmente no seu navegador. Seus dados nunca são enviados.
O que é Validador TOTP?
Informe uma chave e um código para verificar se o código é válido agora, ou em um horário que você especificar, permitindo a mesma janela de desvio de relógio que os servidores de autenticação usam. O resultado informa qual passo de tempo correspondeu, o que ajuda a diagnosticar problemas de relógio.
Como usar Validador TOTP
- Cole a Chave secreta (Base32).
- Digite o Código a verificar.
- Defina Algoritmo, Dígitos, Período e Desvio permitido (passos); opcionalmente um Tempo Unix.
- Clique em Validar e leia o resultado.
Exemplo
Secret GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ, 8 digits, Unix time 89, code 94287082, drift 1
Valid: the code matches time step -1 (clock drift).
Quando usar Validador TOTP
Use para depurar logins 2FA que falham, testar a janela de desvio da sua implementação ou conferir códigos de tokens físicos. Um servidor real também precisa rejeitar códigos que já foram usados uma vez.
Como funciona Validador TOTP
O passo atual T = floor(tempo / período) é verificado primeiro, depois T−1, T+1, T−2 … até o desvio permitido. O código de cada passo é calculado com HMAC conforme os RFCs 4226/6238 e comparado com o código digitado. Uma correspondência informa o seu deslocamento, por exemplo −1 se o código veio da janela de 30 segundos anterior.
Casos de Uso Comuns
- Diagnosticar logins 2FA que falham por desvio de relógio
- Testar a janela de aceitação de uma implementação TOTP
- Verificar códigos de um token físico
- Ensinar como funciona a validação TOTP
Perguntas Frequentes
Que janela de desvio um servidor deve permitir?
O RFC 6238 recomenda no máximo um passo para trás, por causa do atraso de rede; muitos servidores aceitam ±1 passo (±30 segundos).
Por que um código válido é rejeitado depois do login?
Os servidores precisam lembrar os códigos usados e rejeitá-los de novo para evitar ataques de repetição (replay).
Posso validar códigos HOTP aqui?
Não, use o gerador HOTP e compare os códigos dos valores de contador esperados.