Qu'est-ce qu'un code TOTP ?

Un mot de passe à usage unique basé sur le temps (TOTP) est un court code numérique qui change toutes les 30 ou 60 secondes, généré à partir d'un secret partagé et de l'heure actuelle. C'est la norme derrière la plupart des applications d'authentification utilisées pour l'authentification à deux facteurs (2FA).

Est-il sûr de saisir mon vrai secret 2FA ici ?

Tout s'exécute localement dans votre navigateur — le secret n'est jamais envoyé nulle part, et rien n'est enregistré ni stocké. Cela dit, saisir un secret 2FA réel et de production sur une page web comporte un risque inhérent (par exemple, une extension de navigateur compromise). Pour apprendre, tester ou un secret que vous contrôlez, c'est sûr ; traitez avec une prudence supplémentaire les secrets réellement sensibles ou de comptes partagés.

Quels algorithmes et paramètres cet outil prend-il en charge ?

SHA-1 (celui utilisé par défaut par presque toutes les applications d'authentification), SHA-256 et SHA-512, avec des codes à 6 ou 8 chiffres et des périodes de 30 ou 60 secondes, couvrant toute la plage définie dans la RFC 6238.

Pourquoi mon code ne correspond-il pas à celui de mon application d'authentification ?

Les causes les plus courantes sont : l'horloge de votre appareil est désynchronisée (TOTP dépend du temps), l'algorithme, le nombre de chiffres ou la période ne correspondent pas à ce que votre compte utilise réellement (la plupart des services utilisent SHA-1, 6 chiffres, 30 secondes), ou le secret a été mal saisi. Vérifiez chaque paramètre ainsi que l'horloge de votre appareil.

Puis-je utiliser cette page comme authentificateur au quotidien ?

Ce n’est pas adapté. La page n’enregistre volontairement jamais votre secret : il faudrait le coller à chaque fois, et chaque collage est une occasion de fuite de plus. Utilisez une application d’authentification au quotidien ; cet outil sert à tester, déboguer et vérifier des codes quand vous avez déjà le secret sous la main.

Dans quel format le secret doit-il être ?

Une chaîne encodée en Base32 (lettres A-Z et chiffres 2-7) — le même format affiché lorsqu'un service vous donne une clé de configuration manuelle 2FA au lieu d'un code QR. Les espaces, les minuscules et le padding manquant sont tous tolérés automatiquement.