What is TOTP and how does it work?

TOTP (Time-Based One-Time Password, RFC 6238) generates a 6–8 digit code from a shared secret and the current time. The secret is combined with the current 30-second time window using HMAC-SHA1, then truncated to produce the visible code. Because both the authenticator app and the server know the shared secret and the current time, they independently compute the same code — no network communication required. TOTP is the standard behind Google Authenticator, Authy, and all OATH-compatible apps.

What is the difference between TOTP and HOTP?

HOTP (HMAC-based One-Time Password, RFC 4226) generates codes based on an incrementing counter rather than time. Each time you press the button or request a code, the counter advances. The server must track which counter value was last used. TOTP (Time-Based OTP) replaces the counter with the current Unix time divided by 30. TOTP is preferred for authentication apps because time-based codes expire automatically, preventing replay attacks from captured codes.

Why does my TOTP code expire every 30 seconds?

TOTP uses a 30-second time window (configurable, but 30s is the standard). The code is derived from floor(unixTimestamp / 30), so all devices with the same secret show the same code within the same 30-second interval. When the interval rolls over, a new code is derived. Most authenticator servers allow a 1-step tolerance (±30 seconds) to account for clock skew between devices. If codes are consistently wrong, check that your device's clock is synced.

Is it safe to generate TOTP secrets in a browser?

Generating TOTP secrets in a browser is safe for testing and development because this tool runs entirely client-side — no secrets are transmitted to any server. However, for production systems, generate secrets server-side using a cryptographically secure random number generator and deliver them to users via QR code over HTTPS. Never store TOTP secrets in client-side storage (localStorage, cookies) in production — they should only live in your server database and the user's authenticator app.

OTP జనరేటర్ (TOTP/HOTP)

కాన్ఫిగరేషన్

మోడ్
సమయ-ఆధారిత (TOTP) లేదా కౌంటర్-ఆధారిత (HOTP) మధ్య ఎంచుకోండి
అల్గోరిథం
OTP సృష్టించడానికి హ్యాష్ అల్గోరిథమ్
అంకెలు
OTP కోడ్‌లోని అంకెల సంఖ్య
కాల వ్యవధి
TOTP కోడ్ చెల్లుబాటు అయ్యే సమయ అంతరం

రహస్య కీ

సృష్టించిన కోడ్

------

QR కోడ్ సెట్టింగ్స్

జారీదారు

ఖాతా లేబుల్

కోడ్‌ను ధృవీకరించండి

ప్రస్తుత సీక్రెట్‌కు కోడ్ చెల్లుబాటు అవుతుందో లేదో తనిఖీ చేయండి

OTP ఆథ్ URI

ఈ URIని ఉపయోగించండి లేదా QR కోడ్‌ను స్కాన్ చేసి ఈ ఖాతాను ఆథెంటికేటర్ యాప్‌లో జోడించండి

సాంకేతిక వివరాలు

OTP జనరేటర్ ఎలా పనిచేస్తుంది

ఈ టూల్ ఏమి చేస్తుంది

ఈ OTP జనరేటర్ Google Authenticator, Authy, మరియు ఇతర 2FA యాప్‌లకు అనుకూలమైన Time-based One-Time Passwords (TOTP) మరియు HMAC-based One-Time Passwords (HOTP) ను సృష్టిస్తుంది. Base32 సీక్రెట్ కీని ఎంటర్ చేయండి లేదా జనరేట్ చేయండి; టూల్ TOTP కోసం ప్రతి 30 లేదా 60 సెకన్లకు మారే 6-8 అంకెల కోడ్‌లను, లేదా HOTP కోసం కౌంటర్‌తో పెరుగుతూ వెళ్లే కోడ్‌లను ఉత్పత్తి చేస్తుంది. అన్ని లెక్కింపులు Web Crypto API ఉపయోగించి మీ బ్రౌజర్‌లోనే లోకల్‌గా నడుస్తాయి, కాబట్టి మీ సీక్రెట్ మీ డివైస్‌ను ఎప్పుడూ విడిచిపెట్టదు.

డెవలపర్ల సాధారణ వినియోగ సందర్భాలు

డెవలపర్లు ఆన్‌లైన్ TOTP జనరేటర్‌ను రెండు-దశల ధృవీకరణ (2FA) అమలులను పరీక్షించడానికి, తమ OTP లైబ్రరీలు సరైన కోడ్‌లను ఉత్పత్తి చేస్తున్నాయో ధృవీకరించడానికి, మరియు ఆథెంటికేషన్ ఫ్లోలను డీబగ్ చేయడానికి ఉపయోగిస్తారు. 2FA సిస్టమ్ నిర్మిస్తున్నప్పుడు, ఈ టూల్‌తో టెస్ట్ సీక్రెట్లు జనరేట్ చేయవచ్చు, మీ సర్వర్-సైడ్ TOTP అమలును వాలిడేట్ చేయవచ్చు, మరియు టైమ్ సింక్రనైజేషన్ సరిగ్గా ఉందో నిర్ధారించవచ్చు. తమ డివైస్‌లలో ఆథెంటికేటర్ యాప్‌లను ఇన్‌స్టాల్ చేయకుండా 2FA వర్క్‌ఫ్లోలను ధృవీకరించడానికి QA టీమ్‌లకు కూడా ఇది సహాయపడుతుంది.

డేటా ఫార్మాట్‌లు మరియు ప్రమాణాలు

ఈ OTP టూల్ RFC 6238 (TOTP) మరియు RFC 4226 (HOTP) ప్రమాణాలను అమలు చేస్తుంది. సీక్రెట్ కీలు Base32 ఎన్‌కోడింగ్‌ను ఉపయోగిస్తాయి, ఇది ఆథెంటికేటర్ యాప్‌లకు ప్రామాణిక ఫార్మాట్. టూల్ SHA-1 (డిఫాల్ట్, అత్యంత అనుకూలం), SHA-256, మరియు SHA-512 హ్యాష్ అల్గోరిథమ్‌లను సపోర్ట్ చేస్తుంది. అవుట్‌పుట్ కోడ్‌లు 6, 7, లేదా 8 అంకెలుగా ఉండవచ్చు; 6 అత్యంత సాధారణం. OTP Auth URI ఫార్మాట్ (otpauth://totp/...) Google Authenticator మరియు ఇలాంటి యాప్‌లకు అనుకూలంగా ఉంటుంది.

సాధారణ తప్పిదాలు మరియు ఎడ్జ్ కేసులు

TOTP కోడ్‌లు అత్యంత సమయ-సున్నితమైనవి. మీ సర్వర్ మరియు క్లయింట్ క్లాక్‌లు 30 సెకన్లకు మించి సింక్ కాకపోతే ఆథెంటికేషన్ విఫలమవుతుంది. చాలా అమలులు చిన్న డ్రిఫ్ట్‌ను హ్యాండిల్ చేయడానికి 1-2 టైమ్ స్టెప్‌ల విండోను అనుమతిస్తాయి. SHA-1 అత్యంత విస్తృతంగా సపోర్ట్ అయ్యే అల్గోరిథమ్; కొన్ని పాత ఆథెంటికేటర్ యాప్‌లు SHA-256 లేదా SHA-512 ను సపోర్ట్ చేయకపోవచ్చు. మీ సీక్రెట్ కీ సరైన Base32 ఎన్‌కోడ్‌లో ఉందని నిర్ధారించండి—చెల్లని క్యారెక్టర్లు డీకోడింగ్ లోపాలకు కారణమవుతాయి.

కోడ్‌తో పోల్చితే ఈ టూల్‌ను ఎప్పుడు ఉపయోగించాలి

డెవలప్‌మెంట్ సమయంలో మీ 2FA అమలును పరీక్షించడానికి, డీబగ్ చేయడానికి, మరియు ధృవీకరించడానికి ఈ OTP జనరేటర్‌ను ఉపయోగించండి. ప్రొడక్షన్ సిస్టమ్‌ల కోసం, pyotp (Python), speakeasy (Node.js), లేదా GoogleAuthenticator (వివిధ భాషలు) వంటి స్థిరపడిన లైబ్రరీలను ఉపయోగించి మీ సర్వర్‌లోనే OTP కోడ్‌లను జనరేట్ చేసి వెరిఫై చేయండి. క్లయింట్-సైడ్ కోడ్‌లో సీక్రెట్ కీలు ఎప్పుడూ ఎక్స్‌పోజ్ చేయకండి. ఈ టూల్ డెవలప్‌మెంట్ వర్క్‌ఫ్లోలకు అనుకూలం, కానీ మీ అప్లికేషన్ OTP వెరిఫికేషన్‌ను సర్వర్-సైడ్‌లోనే నిర్వహించాలి.