Generador de Secreto TOTP y Código 2FA

La contraseña de un solo uso basada en tiempo, definida en el RFC 6238: un código de seis dígitos derivado de un secreto compartido y de la ventana de treinta segundos en curso, que sirve de segundo factor en la verificación en dos pasos. Como ambas partes calculan el mismo código a partir del mismo secreto y del mismo reloj, no hace falta que nada viaje entre ellas en el momento de entrar, y por eso funciona también con el teléfono en modo avión.

Casi siempre por desfase de reloj. El algoritmo TOTP es puramente temporal: si el teléfono y la computadora difieren en más de treinta segundos, cada uno cae en una ventana distinta y los códigos no coinciden. Comprueba que ambos tengan la hora automática activada y vuelve a mirar. Si los relojes coinciden y los códigos siguen sin cuadrar, el sospechoso es el secreto: revisa que lo hayas copiado entero, sin espacios sobrantes ni un carácter perdido al final.

El secreto y el código se calculan en tu navegador mediante HMAC, derivados en cada tick del temporizador, sin petición por refresco. Solo recopilamos telemetría anónima (algoritmo elegido, tiempo en la página).

Puedes, pero la mayoría de las aplicaciones de autenticación dan por hecho SHA-1. Google Authenticator, por ejemplo, ignora el parámetro de algoritmo en los enlaces otpauth:// y usa siempre SHA-1, de modo que un secreto configurado con SHA-256 generará allí códigos que el servicio no aceptará. Quédate con SHA-1 salvo que controles las dos puntas y sepas que ambas hablan el mismo algoritmo: aquí la compatibilidad importa más que la elección criptográfica, porque el secreto ya es el punto débil.

Copia la cadena Base32 en un gestor de contraseñas —Bitwarden, 1Password, KeePass— dentro de la misma entrada que el usuario y la contraseña del servicio. Así, si pierdes el teléfono o cambias de dispositivo, restauras esa misma entrada de doble factor pegando el secreto, en lugar de volver a darte de alta en cada servicio. Hazlo en el momento del alta: una vez cerrado el código QR, la mayoría de los servicios solo vuelven a enseñar el secreto si reinicias el segundo factor.

Seis es la convención del doble factor de consumo: equilibra la resistencia a la fuerza bruta con el esfuerzo de teclear un código a mano cada vez. Con una ventana de treinta segundos y un límite de intentos en el servidor, un millón de combinaciones ya basta para que adivinar no sea una vía práctica. Los códigos de ocho dígitos aparecen en la banca y en los tokens de alta seguridad, donde el equilibrio se inclina hacia el otro lado. Usa lo que exija tu servicio: aquí el número no lo eliges tú, lo elige quien valida el código.