مولّد رموز 2FA (TOTP)
حوّل مفتاح Base32 سريًا إلى رموز مصادقة ثنائية حية، وتحقّق من رمز، وأنشئ رابط otpauth:// — كل ذلك داخل متصفحك.
🔒 تُحسب الرموز على جهازك. ولا يُرفع المفتاح السري أو يُحفظ أبدًا.
حول مولّد رموز 2FA (TOTP)
كلمات المرور لمرة واحدة المعتمدة على الوقت (TOTP، RFC 6238) هي الرموز المكونة من ستة أرقام التي تعرضها تطبيقات Google Authenticator وMicrosoft Authenticator وAuthy ومعظم مديري كلمات المرور. يتشارك التطبيق والخادم مفتاحًا سريًا؛ وكل 30 ثانية يحسب الطرفان قيمة HMAC للخطوة الزمنية الحالية ويحتفظان ببضعة أرقام من الناتج، فتتطابق الرموز دون أي اتصال بالشبكة. تُجري هذه الأداة الحساب نفسه باستخدام Web Crypto API في متصفحك. الصق مفتاح Base32 السري المعروض أسفل رمز QR (أو أنشئ مفتاحًا جديدًا)، وسترى الرمز الحالي مع عدّ تنازلي، والرمزين السابق والتالي، وفحصًا يقبل خطوة واحدة من انحراف الساعة كما تفعل معظم الخوادم. ويمكن للمطورين استخدامها لاختبار مسار تسجيل الدخول بـ 2FA وإنشاء رابط otpauth:// الذي تستورده تطبيقات المصادقة. لا يُرفع المفتاح السري ولا يُخزَّن أبدًا، لكن تعامل مع المفاتيح الحقيقية كما تتعامل مع كلمات المرور.
FAQ
لماذا لا يتطابق رمزي مع تطبيق المصادقة؟
تأكد من نسخ المفتاح السري كاملًا، ومن تطابق عدد الأرقام والمدة والخوارزمية مع التطبيق (تستخدم معظم الخدمات 6 أرقام و30 ثانية وSHA-1)، ومن صحة ساعة جهازك. يعتمد TOTP على الوقت، لذا فإن ساعة منحرفة بأكثر من 30 ثانية تعطي رموزًا مختلفة.
هل من الآمن لصق مفتاح 2FA السري هنا؟
يُحسب الرمز محليًا باستخدام Web Crypto ولا يُرسل أي شيء إلى خادم. ومع ذلك، فإن أي شخص يملك مفتاحك السري يمكنه إنشاء رموزك، لذا لا تستخدم المفاتيح الحقيقية إلا على جهاز تثق به، وفضّل مفاتيح الاختبار أثناء التطوير.
ما هو رابط otpauth://؟
هو صيغة الرابط القياسية داخل رموز QR الخاصة بـ 2FA. ويحتوي على المفتاح السري واسم الحساب والجهة المُصدِرة والإعدادات (الخوارزمية وعدد الأرقام والمدة)، ليتمكن تطبيق المصادقة من إضافة الحساب بخطوة واحدة.