Générateur de secret TOTP / HOTP

TOTP (Time-based One-Time Password, RFC 6238) génère des codes basés sur l'heure actuelle, se rafraîchissant toutes les 30 secondes par défaut. HOTP (HMAC-based One-Time Password, RFC 4226) génère des codes basés sur un compteur qui s'incrémente à chaque utilisation. Le TOTP est plus courant dans les systèmes modernes d'authentification à deux facteurs car il ne nécessite pas de synchronisation de compteur serveur-client, mais le HOTP est utile dans les scénarios hors ligne ou asynchrones.

SHA-1 reste le défaut car la RFC 6238 le spécifie comme référence et pratiquement toutes les applications d'authentification (Google Authenticator, Authy, Microsoft Authenticator) le prennent en charge. Bien que SHA-1 présente des faiblesses connues dans les signatures numériques, le HMAC-SHA-1 tel qu'utilisé dans TOTP n'est pas vulnérable à ces attaques. SHA-256 et SHA-512 offrent une sécurité plus forte mais ont un support d'application limité.

L'URI otpauth:// encode tous les paramètres nécessaires à la configuration d'une application d'authentification : le secret, le nom de l'émetteur, le libellé du compte, l'algorithme, le nombre de chiffres et la période. Les codes QR intègrent cet URI afin que les utilisateurs puissent scanner et importer le compte sans saisie manuelle. Le format est : otpauth://totp/Issuer:Account?secret=BASE32SECRET&issuer=Issuer&algorithm=SHA1&digits=6&period=30

Oui, lorsque l'outil est entièrement côté client. Ce générateur utilise l'API Web Crypto pour générer des secrets localement et ne les transmet jamais à un serveur. Vous pouvez le vérifier en consultant l'onglet réseau dans les outils de développement du navigateur – aucune requête sortante n'est effectuée lors de la génération des secrets. Stockez les secrets générés en toute sécurité et ne les partagez jamais.