Todas las Herramientas|100% en Cliente

Guía Técnica de TOTP y Autenticación en Dos Pasos (2FA)

Guía técnica sobre el estándar RFC 6238, contraseñas de un solo uso por tiempo, decodificación Base32 y URIs otpauth://.

RFC 6238 / RFC 4226 WebCrypto Sandbox
Código Dinámico TOTP Actual
--- ---
Segundos para refrescar:30s
Emisor (Servicio):
Cuenta / Usuario:
Algoritmo Hash:
Dígitos del Código:
Intervalo de Tiempo:
URI otpauth:// Estándar

Scan or import this URI directly into Authenticator applications (Google Authenticator, Authy, Bitwarden, 1Password) to provision 2FA accounts.

100% Client-Side Cryptography

Your 2FA shared secrets and verification tokens are computed strictly within your browser using native SubtleCrypto HMAC-SHA algorithms.

Full RFC 6238 & 4226 Fidelity

Compatible with industry authenticators. Supports custom step intervals, 6-digit or 8-digit truncation, and SHA-1/256/512 digests.

Standard otpauth:// Schemes

Generates ready-to-use URI schemes formatted for immediate QR generation and provisioning across team password vaults and test environments.

Referencia técnica y guía de arquitectura

Guía Técnica de TOTP y Autenticación en Dos Pasos (2FA) — Guía de referencia

Guía técnica sobre el estándar RFC 6238, contraseñas de un solo uso por tiempo, decodificación Base32 y URIs otpauth://.

Parámetros clave y controles

secretstring (Base32)

Clave secreta compartida codificada en Base32.

periodnumber (predeterminado: 30)

Duración de validez en segundos por cada código.

digitsnumber (predeterminado: 6)

Longitud del código numérico generado (6 u 8 dígitos).

algorithmenum ('SHA-1' | 'SHA-256' | 'SHA-512')

Función de hash criptográfico para HMAC.

Consejos profesionales y mejores prácticas

Elimine espacios en blanco y guiones del secreto Base32 antes del cálculo HMAC.

Los servidores de autenticación suelen aceptar una desviación de ±30 segundos de reloj.

Codifique el emisor y nombre de cuenta con formato URL seguro en la URI otpauth://.

Errores comunes y solución de problemas

Verifique la sincronización de fecha y hora del sistema operativo de su dispositivo.

Base32 solo acepta los caracteres A-Z y 2-7 (sin 0, 1, 8 ni 9).

Preguntas frecuentes (FAQ)

¿Se expone mi clave secreta 2FA?▼

No. Toda la generación criptográfica ocurre en la memoria local de su navegador.

¿Qué es una URI otpauth://?▼

Es el estándar que leen las apps móviles de autenticación al escanear un código QR.

¿Por qué cambia cada 30 segundos?▼

Porque el estándar RFC 6238 calcula el paso temporal dividiendo el tiempo UNIX entre 30.

¿Permite códigos de 8 dígitos?▼

Sí, puede seleccionar 6 u 8 dígitos y algoritmos SHA-1/SHA-256.

Herramientas y utilidades relacionadas

Todas las herramientas →
Guía de Auditoría de Secretos JWT y Claves Débilessecurity

Metodología para auditar tokens JWT con ataques de diccionario locales y verificar la resistencia de claves HMAC.

Abrir herramienta→
Guía de Huellas SSH y Visualizador Randomartsecurity

Especificación de análisis de claves públicas OpenSSH, cálculo de huellas SHA-256/MD5 y generación de arte ASCII Randomart.

Abrir herramienta→
Guía de Desarrollo Punycode y Dominios IDNsecurity

Manual técnico sobre los estándares RFC 3492 y RFC 5891 para codificar y decodificar nombres de dominio con detección de suplantación homógrafa.

Abrir herramienta→
Decodificador JWT e inspector de seguridadsecurity

Decodifica JSON Web Tokens, inspecciona claims de cabecera y payload, calcula la expiración y verifica la integridad en local.

Abrir herramienta→
Generador Criptográfico de Contraseñas y Frases de Pasosecurity

Genere contraseñas seguras de alta entropía, frases de paso memorables (Diceware), códigos PIN y tokens de API mediante la API Web Crypto CSPRNG según NIST SP 800-63B.

Abrir herramienta→
Generador de Huellas y Hash Criptográficosecurity

Calcule al instante valores hash SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak y CRC32 localmente en su navegador mediante la API Web Crypto 100% segura.

Abrir herramienta→