Tools Übersicht|100% Client-Side

RFC 6238 TOTP & Zwei-Faktor-Authentifizierung Leitfaden

Technischer Leitfaden zur Erzeugung zeitbasierter Einmalkennwörter, Base32-Verarbeitung und otpauth:// URIs.

RFC 6238 / RFC 4226 WebCrypto Sandbox
Aktueller TOTP-Code
--- ---
Sekunden bis Aktualisierung:30s
Dienstname (Issuer):
Benutzerkonto:
Hash-Algorithmus:
Code-Stellen:
Intervall (Sekunden):
Standardmäßige otpauth:// URI

Scan or import this URI directly into Authenticator applications (Google Authenticator, Authy, Bitwarden, 1Password) to provision 2FA accounts.

100% Client-Side Cryptography

Your 2FA shared secrets and verification tokens are computed strictly within your browser using native SubtleCrypto HMAC-SHA algorithms.

Full RFC 6238 & 4226 Fidelity

Compatible with industry authenticators. Supports custom step intervals, 6-digit or 8-digit truncation, and SHA-1/256/512 digests.

Standard otpauth:// Schemes

Generates ready-to-use URI schemes formatted for immediate QR generation and provisioning across team password vaults and test environments.

Technische Referenz & Architektur-Leitfaden

RFC 6238 TOTP & Zwei-Faktor-Authentifizierung Leitfaden — Referenz-Leitfaden

Technischer Leitfaden zur Erzeugung zeitbasierter Einmalkennwörter, Base32-Verarbeitung und otpauth:// URIs.

Wichtige Parameter & Steuerelemente

secretstring (Base32)

Gemeinsamer Base32-Geheimschlüssel.

periodnumber (Standard: 30)

Gültigkeitsdauer eines Codes in Sekunden.

digitsnumber (Standard: 6)

Länge des generierten Prüfcodes (6 oder 8 Ziffern).

algorithmenum ('SHA-1' | 'SHA-256' | 'SHA-512')

Kryptographischer Hash-Algorithmus.

Profi-Tipps & Best Practices

Entfernen Sie Leerzeichen und Trennstriche aus Base32-Schlüsseln vor der HMAC-Berechnung.

Serverseitig sollte eine Zeittoleranz von ±1 Intervall eingeräumt werden.

Verwenden Sie URL-Encoding für Namen im otpauth:// Schema.

Häufige Fallstricke & Fehlerbehebung

Überprüfen Sie die Systemzeit Ihres Geräts auf Synchronität mit einem NTP-Server.

Base32 erlaubt nur Großbuchstaben A-Z und Ziffern 2-7.

Häufig gestellte Fragen (FAQ)

Wird das Secret an einen Server gesendet?▼

Nein, alle Berechnungen laufen lokal im Browser.

Was ist ein otpauth:// Link?▼

Das universelle Format, das Authenticator-Apps per QR-Code einlesen.

Warum wechselt der Code alle 30 Sekunden?▼

Gemäß RFC 6238 wird die aktuelle Epochenzeit in 30-Sekunden-Schritten getaktet.

Werden SHA-256 und 8 Ziffern unterstützt?▼

Ja, alle Standardparameter sind flexibel einstellbar.

Verwandte Werkzeuge & Dienstprogramme

Alle Werkzeuge →