What is TOTP and how does it work?

TOTP (Time-Based One-Time Password, RFC 6238) generates a 6–8 digit code from a shared secret and the current time. The secret is combined with the current 30-second time window using HMAC-SHA1, then truncated to produce the visible code. Because both the authenticator app and the server know the shared secret and the current time, they independently compute the same code — no network communication required. TOTP is the standard behind Google Authenticator, Authy, and all OATH-compatible apps.

What is the difference between TOTP and HOTP?

HOTP (HMAC-based One-Time Password, RFC 4226) generates codes based on an incrementing counter rather than time. Each time you press the button or request a code, the counter advances. The server must track which counter value was last used. TOTP (Time-Based OTP) replaces the counter with the current Unix time divided by 30. TOTP is preferred for authentication apps because time-based codes expire automatically, preventing replay attacks from captured codes.

Why does my TOTP code expire every 30 seconds?

TOTP uses a 30-second time window (configurable, but 30s is the standard). The code is derived from floor(unixTimestamp / 30), so all devices with the same secret show the same code within the same 30-second interval. When the interval rolls over, a new code is derived. Most authenticator servers allow a 1-step tolerance (±30 seconds) to account for clock skew between devices. If codes are consistently wrong, check that your device's clock is synced.

Is it safe to generate TOTP secrets in a browser?

Generating TOTP secrets in a browser is safe for testing and development because this tool runs entirely client-side — no secrets are transmitted to any server. However, for production systems, generate secrets server-side using a cryptographically secure random number generator and deliver them to users via QR code over HTTPS. Never store TOTP secrets in client-side storage (localStorage, cookies) in production — they should only live in your server database and the user's authenticator app.

OTP உருவாக்கி (TOTP/HOTP)

அமைப்புகள்

முறை
நேர அடிப்படையிலான (TOTP) அல்லது கவுன்டர் அடிப்படையிலான (HOTP) முறைகளில் ஒன்றைத் தேர்ந்தெடுக்கவும்
அல்காரிதம்
OTP உருவாக்கத்திற்கான ஹாஷ் அல்காரிதம்
எண்கள்
OTP குறியீட்டில் உள்ள இலக்கங்களின் எண்ணிக்கை
கால இடைவெளி
TOTP குறியீடு செல்லுபடியாகும் நேர இடைவெளி

ரகசிய விசை

உருவாக்கப்பட்ட குறியீடு

------

QR குறியீடு அமைப்புகள்

வழங்குநர்

கணக்கு லேபல்

குறியீட்டை சரிபார்க்கவும்

தற்போதைய ரகசியத்திற்கான குறியீடு செல்லுபடியாக உள்ளதா என்பதைச் சரிபார்க்கவும்

OTP அங்கீகார URI

இந்த URI ஐ பயன்படுத்தவும் அல்லது QR குறியீட்டை ஸ்கேன் செய்து இந்த கணக்கை அங்கீகரிப்பான் பயன்பாட்டில் சேர்க்கவும்

தொழில்நுட்ப விவரங்கள்

OTP ஜெனரேட்டர் எப்படி வேலை செய்கிறது

இந்த கருவி என்ன செய்கிறது

இந்த OTP ஜெனரேட்டர் Google Authenticator, Authy மற்றும் பிற 2FA ஆப்களுடன் இணக்கமான Time-based One-Time Passwords (TOTP) மற்றும் HMAC-based One-Time Passwords (HOTP) உருவாக்குகிறது. Base32 சீக்ரெட் கீயை உள்ளிடுங்கள் அல்லது உருவாக்குங்கள்; பின்னர் இந்த கருவி TOTP-க்கு ஒவ்வொரு 30 அல்லது 60 விநாடிகளுக்கும் மாறும் 6-8 இலக்க கோடுகளையோ, அல்லது HOTP-க்கு கவுண்டருடன் அதிகரிக்கும் கோடுகளையோ உருவாக்கும். அனைத்து கணக்கீடுகளும் Web Crypto API-யைப் பயன்படுத்தி உங்கள் உலாவியில் உள்ளூராக இயங்கும்; ஆகவே உங்கள் சீக்ரெட் உங்கள் சாதனத்தை விட்டு வெளியே செல்லாது.

டெவலப்பர்களுக்கான பொதுவான பயன்பாட்டு நிலைகள்

டெவலப்பர்கள் ஆன்லைன் TOTP ஜெனரேட்டரை இரு-அங்கீகார (2FA) அமலாக்கங்களை சோதிக்க, தங்களின் OTP லைப்ரரிகள் சரியான கோடுகளை உருவாக்குகின்றனவா என்பதை சரிபார்க்க, மற்றும் அத்தென்டிகேஷன் ஃப்ளோக்களை டீபக் செய்ய பயன்படுத்துகிறார்கள். 2FA அமைப்பை உருவாக்கும் போது, இந்த கருவியைப் பயன்படுத்தி சோதனை சீக்ரெட்களை உருவாக்கலாம், உங்கள் சர்வர்-சைடு TOTP அமலாக்கத்தை சரிபார்க்கலாம், மற்றும் நேர ஒத்திசைவு சரியாக உள்ளதா என்பதை உறுதி செய்யலாம். இது QA அணிகளுக்கு தங்களின் சாதனங்களில் அத்தென்டிகேட்டர் ஆப்களை நிறுவாமல் 2FA வொர்க்ஃப்ளோக்களை சரிபார்க்கவும் உதவுகிறது.

தரவு வடிவங்கள் மற்றும் தரநிலைகள்

இந்த OTP கருவி RFC 6238 (TOTP) மற்றும் RFC 4226 (HOTP) தரநிலைகளை அமல்படுத்துகிறது. சீக்ரெட் கீக்கள் Base32 என்கோடிங்கைப் பயன்படுத்துகின்றன; இது அத்தென்டிகேட்டர் ஆப்களுக்கு ஸ்டாண்டர்ட் வடிவம். இந்த கருவி SHA-1 (டிஃபால்ட், அதிக இணக்கமானது), SHA-256, மற்றும் SHA-512 ஹாஷ் அல்காரிதங்களை ஆதரிக்கிறது. அவுட்புட் கோடுகள் 6, 7, அல்லது 8 இலக்கங்களாக இருக்கலாம்; இதில் 6 மிகவும் பொதுவானது. OTP Auth URI வடிவம் (otpauth://totp/...) Google Authenticator மற்றும் இதே போன்ற ஆப்களுடன் இணக்கமானது.

பொதுவான தவறுகள் மற்றும் விளிம்பு நிலைகள்

TOTP கோடுகள் மிகுந்த நேர-சென்சிட்டிவ். உங்கள் சர்வர் மற்றும் கிளையன்ட் கடிகாரங்கள் 30 விநாடிகளுக்கு மேல் ஒத்திசைவில்லாமல் இருந்தால், அத்தென்டிகேஷன் தோல்வியடையும். பெரும்பாலான அமலாக்கங்கள் சிறிய டிரிஃப்டை கையாள 1-2 டைம் ஸ்டெப்கள் அளவிலான விண்டோவை அனுமதிக்கும். SHA-1 தான் மிகவும் பரவலாக ஆதரிக்கப்படும் அல்காரிதம்; சில பழைய அத்தென்டிகேட்டர் ஆப்கள் SHA-256 அல்லது SHA-512-ஐ ஆதரிக்காமல் இருக்கலாம். உங்கள் சீக்ரெட் கீ சரியாக Base32 என்கோடு செய்யப்பட்டுள்ளதா என்பதை உறுதி செய்யுங்கள்—செல்லாத எழுத்துக்கள் டிகோடிங் பிழைகளை ஏற்படுத்தும்.

கோடுக்கு பதிலாக இந்த கருவியை எப்போது பயன்படுத்துவது

டெவலப்மெண்ட் போது உங்கள் 2FA அமலாக்கத்தை சோதிக்க, டீபக் செய்ய, மற்றும் சரிபார்க்க இந்த OTP ஜெனரேட்டரைப் பயன்படுத்துங்கள். ப்ரொடக்ஷன் அமைப்புகளுக்கு, pyotp (Python), speakeasy (Node.js), அல்லது GoogleAuthenticator (பல்வேறு மொழிகள்) போன்ற நிலைபெற்ற லைப்ரரிகளைப் பயன்படுத்தி உங்கள் சர்வரில் OTP கோடுகளை உருவாக்கவும் சரிபார்க்கவும். கிளையன்ட்-சைடு கோடில் சீக்ரெட் கீக்களை ஒருபோதும் வெளிப்படுத்தாதீர்கள். இந்த கருவி டெவலப்மெண்ட் வொர்க்ஃப்ளோக்களுக்கு சிறந்தது; ஆனால் உங்கள் பயன்பாடு OTP சரிபார்ப்பை சர்வர்-சைடில் கையாள வேண்டும்.