Generador de OTP (TOTP/HOTP)

Cómo funciona el generador de OTP

Qué hace la herramienta

Este generador de OTP crea contraseñas de un solo uso basadas en tiempo (TOTP) y contraseñas de un solo uso basadas en HMAC (HOTP) compatibles con Google Authenticator, Authy y otras apps de 2FA. Ingresa o genera una clave secreta Base32 y la herramienta producirá códigos de 6 a 8 dígitos que cambian cada 30 o 60 segundos para TOTP, o que se incrementan con un contador para HOTP. Todos los cálculos se ejecutan localmente en tu navegador usando la Web Crypto API, por lo que tu secreto nunca sale de tu dispositivo.

Casos de uso comunes para desarrolladores

Los desarrolladores usan un generador de TOTP en línea para probar implementaciones de autenticación de dos factores, verificar que sus bibliotecas de OTP produzcan códigos correctos y depurar flujos de autenticación. Al crear un sistema 2FA, puedes usar esta herramienta para generar secretos de prueba, validar tu implementación TOTP del lado del servidor y asegurar que la sincronización de tiempo sea correcta. También ayuda a los equipos de QA a verificar flujos de trabajo de 2FA sin instalar apps autenticadoras en sus dispositivos.

Formatos de datos y estándares

La herramienta de OTP implementa los estándares RFC 6238 (TOTP) y RFC 4226 (HOTP). Las claves secretas usan codificación Base32, que es el formato estándar para apps autenticadoras. La herramienta admite los algoritmos hash SHA-1 (predeterminado, el más compatible), SHA-256 y SHA-512. Los códigos de salida pueden ser de 6, 7 u 8 dígitos, siendo 6 el más común. El formato de URI OTP Auth (otpauth://totp/...) es compatible con Google Authenticator y apps similares.

Errores comunes y casos límite

Los códigos TOTP son extremadamente sensibles al tiempo. Si los relojes del servidor y del cliente no están sincronizados por más de 30 segundos, la autenticación fallará. La mayoría de las implementaciones permiten una ventana de 1 a 2 pasos de tiempo para manejar una deriva menor. SHA-1 es el algoritmo con mayor soporte; algunas apps autenticadoras más antiguas pueden no admitir SHA-256 o SHA-512. Asegúrate de que tu clave secreta esté correctamente codificada en Base32: los caracteres inválidos causarán errores de decodificación.

Cuándo usar esta herramienta vs código

Usa este generador de OTP para probar, depurar y verificar tu implementación de 2FA durante el desarrollo. Para sistemas en producción, genera y verifica códigos OTP en tu servidor usando bibliotecas consolidadas como pyotp (Python), speakeasy (Node.js) o GoogleAuthenticator (varios lenguajes). Nunca expongas claves secretas en código del lado del cliente. Esta herramienta es ideal para flujos de trabajo de desarrollo, pero tu aplicación debe manejar la verificación de OTP del lado del servidor.