What is TOTP and how does it work?

TOTP (Time-Based One-Time Password, RFC 6238) generates a 6–8 digit code from a shared secret and the current time. The secret is combined with the current 30-second time window using HMAC-SHA1, then truncated to produce the visible code. Because both the authenticator app and the server know the shared secret and the current time, they independently compute the same code — no network communication required. TOTP is the standard behind Google Authenticator, Authy, and all OATH-compatible apps.

What is the difference between TOTP and HOTP?

HOTP (HMAC-based One-Time Password, RFC 4226) generates codes based on an incrementing counter rather than time. Each time you press the button or request a code, the counter advances. The server must track which counter value was last used. TOTP (Time-Based OTP) replaces the counter with the current Unix time divided by 30. TOTP is preferred for authentication apps because time-based codes expire automatically, preventing replay attacks from captured codes.

Why does my TOTP code expire every 30 seconds?

TOTP uses a 30-second time window (configurable, but 30s is the standard). The code is derived from floor(unixTimestamp / 30), so all devices with the same secret show the same code within the same 30-second interval. When the interval rolls over, a new code is derived. Most authenticator servers allow a 1-step tolerance (±30 seconds) to account for clock skew between devices. If codes are consistently wrong, check that your device's clock is synced.

Is it safe to generate TOTP secrets in a browser?

Generating TOTP secrets in a browser is safe for testing and development because this tool runs entirely client-side — no secrets are transmitted to any server. However, for production systems, generate secrets server-side using a cryptographically secure random number generator and deliver them to users via QR code over HTTPS. Never store TOTP secrets in client-side storage (localStorage, cookies) in production — they should only live in your server database and the user's authenticator app.

OTP ജനറേറ്റർ (TOTP/HOTP)

ക്രമീകരണം

മോഡ്
സമയാധിഷ്ഠിത (TOTP) അല്ലെങ്കിൽ കൗണ്ടർ-അധിഷ്ഠിത (HOTP) എന്നിവയിൽ നിന്ന് തിരഞ്ഞെടുക്കുക
ആൽഗോരിതം
OTP സൃഷ്ടിക്കാനുള്ള ഹാഷ് അല്ഗോറിതം
അക്കങ്ങൾ
OTP കോഡിലെ അക്കങ്ങളുടെ എണ്ണം
കാലയളവ്
TOTP കോഡിന്റെ സാധുതയ്ക്കുള്ള സമയ ഇടവേള

രഹസ്യ കീ

സൃഷ്ടിച്ച കോഡ്

------

QR കോഡ് ക്രമീകരണങ്ങൾ

ഇഷ്യൂവർ

അക്കൗണ്ട് ലേബൽ

കോഡ് സ്ഥിരീകരിക്കുക

നിലവിലെ രഹസ്യത്തിനായി ഒരു കോഡ് സാധുവാണോ എന്ന് പരിശോധിക്കുക

OTP ഓത്ത് URI

ഈ അക്കൗണ്ട് ഒരു ഓതന്റിക്കേറ്റർ ആപ്പിൽ ചേർക്കാൻ ഈ URI ഉപയോഗിക്കുക അല്ലെങ്കിൽ QR കോഡ് സ്കാൻ ചെയ്യുക

സാങ്കേതിക വിശദാംശങ്ങൾ

OTP ജനറേറ്റർ എങ്ങനെ പ്രവർത്തിക്കുന്നു

ഉപകരണം ചെയ്യുന്നത് എന്താണ്

ഈ OTP ജനറേറ്റർ Google Authenticator, Authy, മറ്റ് 2FA ആപ്പുകൾ എന്നിവയുമായി അനുയോജ്യമായ Time-based One-Time Passwords (TOTP) ഉം HMAC-based One-Time Passwords (HOTP) ഉം സൃഷ്ടിക്കുന്നു. Base32 സീക്രട്ട് കീ നൽകുകയോ ജനറേറ്റ് ചെയ്യുകയോ ചെയ്യുക; തുടർന്ന് TOTP-യ്ക്ക് ഓരോ 30 അല്ലെങ്കിൽ 60 സെക്കൻഡിലും മാറുന്ന 6-8 അക്ക കോഡുകൾ, അല്ലെങ്കിൽ HOTP-യ്ക്ക് കൗണ്ടറിനൊപ്പം ഇൻക്രിമെന്റ് ചെയ്യുന്ന കോഡുകൾ ടൂൾ സൃഷ്ടിക്കും. എല്ലാ കണക്കുകൂട്ടലുകളും Web Crypto API ഉപയോഗിച്ച് നിങ്ങളുടെ ബ്രൗസറിൽ ലോക്കലായി നടക്കുന്നതിനാൽ നിങ്ങളുടെ സീക്രട്ട് ഒരിക്കലും നിങ്ങളുടെ ഡിവൈസ് വിട്ടുപോകില്ല.

ഡെവലപ്പർമാർക്കുള്ള സാധാരണ ഉപയോഗ സാഹചര്യങ്ങൾ

ഡെവലപ്പർമാർ ഓൺലൈൻ TOTP ജനറേറ്റർ ഉപയോഗിക്കുന്നത് ടു-ഫാക്ടർ ഓതന്റിക്കേഷൻ ഇംപ്ലിമെന്റേഷനുകൾ ടെസ്റ്റ് ചെയ്യാനും, അവരുടെ OTP ലൈബ്രറികൾ ശരിയായ കോഡുകൾ സൃഷ്ടിക്കുന്നുണ്ടോ എന്ന് സ്ഥിരീകരിക്കാനും, ഓതന്റിക്കേഷൻ ഫ്ലോകൾ ഡീബഗ് ചെയ്യാനും ആണ്. 2FA സിസ്റ്റം നിർമ്മിക്കുമ്പോൾ, ടെസ്റ്റ് സീക്രെറ്റുകൾ ജനറേറ്റ് ചെയ്യാനും, സർവർ-സൈഡ് TOTP ഇംപ്ലിമെന്റേഷൻ വാലിഡേറ്റ് ചെയ്യാനും, ടൈം സിങ്ക്രണൈസേഷൻ ശരിയാണെന്ന് ഉറപ്പാക്കാനും ഈ ടൂൾ ഉപയോഗിക്കാം. ഓതന്റിക്കേറ്റർ ആപ്പുകൾ അവരുടെ ഡിവൈസുകളിൽ ഇൻസ്റ്റാൾ ചെയ്യാതെ തന്നെ 2FA വർക്ക്‌ഫ്ലോകൾ പരിശോധിക്കാൻ QA ടീമുകൾക്കും ഇത് സഹായിക്കുന്നു.

ഡാറ്റ ഫോർമാറ്റുകളും സ്റ്റാൻഡേർഡുകളും

OTP ടൂൾ RFC 6238 (TOTP) ഉം RFC 4226 (HOTP) ഉം സ്റ്റാൻഡേർഡുകൾ നടപ്പിലാക്കുന്നു. സീക്രട്ട് കീകൾ Base32 എൻകോഡിംഗ് ഉപയോഗിക്കുന്നു; ഇത് ഓതന്റിക്കേറ്റർ ആപ്പുകൾക്കുള്ള സ്റ്റാൻഡേർഡ് ഫോർമാറ്റാണ്. ടൂൾ SHA-1 (ഡീഫോൾട്ട്, ഏറ്റവും കൂടുതൽ അനുയോജ്യം), SHA-256, SHA-512 എന്നീ ഹാഷ് ആൽഗോരിതങ്ങൾ പിന്തുണയ്ക്കുന്നു. ഔട്ട്പുട്ട് കോഡുകൾ 6, 7, അല്ലെങ്കിൽ 8 അക്കങ്ങളാകാം; 6 ആണ് ഏറ്റവും സാധാരണമായത്. OTP Auth URI ഫോർമാറ്റ് (otpauth://totp/...) Google Authenticator പോലുള്ള ആപ്പുകളുമായി അനുയോജ്യമാണ്.

സാധാരണ പിഴവുകളും എഡ്ജ് കേസുകളും

TOTP കോഡുകൾ അത്യന്തം സമയ-സെൻസിറ്റീവാണ്. നിങ്ങളുടെ സർവറിന്റെയും ക്ലയന്റിന്റെയും ക്ലോക്കുകൾ 30 സെക്കൻഡിൽ കൂടുതൽ സിങ്ക് തെറ്റിയാൽ ഓതന്റിക്കേഷൻ പരാജയപ്പെടും. ചെറിയ ഡ്രിഫ്റ്റ് കൈകാര്യം ചെയ്യാൻ മിക്ക ഇംപ്ലിമെന്റേഷനുകളും 1-2 ടൈം സ്റ്റെപ്പുകളുടെ വിൻഡോ അനുവദിക്കുന്നു. SHA-1 ആണ് ഏറ്റവും വ്യാപകമായി പിന്തുണയ്ക്കുന്ന ആൽഗോരിതം; ചില പഴയ ഓതന്റിക്കേറ്റർ ആപ്പുകൾക്ക് SHA-256 അല്ലെങ്കിൽ SHA-512 പിന്തുണയ്ക്കാനാകില്ല. നിങ്ങളുടെ സീക്രട്ട് കീ ശരിയായി Base32 എൻകോഡ് ചെയ്തിട്ടുണ്ടെന്ന് ഉറപ്പാക്കുക—അസാധുവായ അക്ഷരങ്ങൾ ഡീകോഡിംഗ് പിശകുകൾ ഉണ്ടാക്കും.

കോഡിനേക്കാൾ ഈ ഉപകരണം എപ്പോൾ ഉപയോഗിക്കണം

ഡെവലപ്പ്മെന്റിനിടെ നിങ്ങളുടെ 2FA ഇംപ്ലിമെന്റേഷൻ ടെസ്റ്റ് ചെയ്യാനും, ഡീബഗ് ചെയ്യാനും, സ്ഥിരീകരിക്കാനും ഈ OTP ജനറേറ്റർ ഉപയോഗിക്കുക. പ്രൊഡക്ഷൻ സിസ്റ്റങ്ങളിലായി, pyotp (Python), speakeasy (Node.js), അല്ലെങ്കിൽ GoogleAuthenticator (വിവിധ ഭാഷകൾ) പോലുള്ള സ്ഥാപിത ലൈബ്രറികൾ ഉപയോഗിച്ച് നിങ്ങളുടെ സർവറിൽ OTP കോഡുകൾ ജനറേറ്റ് ചെയ്യുകയും വെരിഫൈ ചെയ്യുകയും ചെയ്യുക. ക്ലയന്റ്-സൈഡ് കോഡിൽ സീക്രട്ട് കീകൾ ഒരിക്കലും പുറത്താക്കരുത്. ഈ ടൂൾ ഡെവലപ്പ്മെന്റ് വർക്ക്‌ഫ്ലോകൾക്ക് അനുയോജ്യമാണ്, പക്ഷേ നിങ്ങളുടെ ആപ്ലിക്കേഷൻ OTP വെരിഫിക്കേഷൻ സർവർ-സൈഡിൽ കൈകാര്യം ചെയ്യണം.