Générateur de mot de passe à usage unique (TOTP)
Générez le même mot de passe à usage unique à 6 chiffres (RFC 6238) que Google Authenticator et les applications similaires, à partir d'un secret TOTP au format Base32, entièrement dans votre navigateur. Votre secret n'est jamais transmis.
À propos de l'algorithme TOTP
Le TOTP (Time-based One-Time Password) est un algorithme de mot de passe à usage unique basé sur le temps, défini dans la RFC 6238. Il convertit un secret partagé et l'heure actuelle en un compteur qui avance à intervalles fixes, puis dérive un code numérique à l'aide du même algorithme de troncature dynamique que HOTP (RFC 4226).
| Algorithme HMAC | Choix entre SHA-1 (par défaut), SHA-256 ou SHA-512 |
|---|---|
| Longueur du code | 6 chiffres (la même longueur standard utilisée par Google Authenticator et la plupart des applications 2FA courantes) |
| Intervalle de rafraîchissement | Un nouveau code est généré toutes les 30 secondes |
Astuces
- Le secret est la chaîne de caractères de la « clé de configuration » affichée sous le code QR lors du premier enregistrement de l'authentification à deux facteurs (2FA). Si vous l'avez déjà enregistrée dans une application d'authentification sur votre smartphone, saisissez le même secret ici pour vérifier le code.
- Certains services utilisent un algorithme de hachage autre que SHA-1 (SHA-256 ou SHA-512). Si le code généré ne correspond pas à celui de votre application, essayez de changer d'algorithme.
- Le code se rafraîchit automatiquement toutes les 30 secondes, avec une barre de progression indiquant le temps restant. Faites attention en copiant un code juste avant son expiration, car il pourrait devenir invalide avant d'atteindre le service d'authentification.
- La fermeture de cet onglet du navigateur efface définitivement le secret, qui n'est jamais enregistré nulle part. Si vous souhaitez le conserver comme sauvegarde, stockez le secret lui-même dans un endroit sûr, comme un gestionnaire de mots de passe.
FAQ
Anecdote — Pourquoi les codes à deux facteurs se sont fixés à 6 chiffres
L'OATH (Initiative for Open Authentication), qui a rédigé la spécification TOTP (RFC 6238), a simplement repris l'algorithme de troncature dynamique de HOTP (RFC 4226) et laissé la longueur du code au choix de chaque implémentation. Si six chiffres sont devenus la norme de facto de l'industrie, c'est surtout parce que Google Authenticator a adopté cette longueur dans sa mise en œuvre initiale de 2010, et que de nombreux autres services et bibliothèques ont suivi cet exemple.
Six chiffres constituent aussi un compromis idéal. Avec un million de combinaisons possibles (10^6) et une courte fenêtre de validité de 30 secondes, une attaque par force brute devient pratiquement impossible, tandis qu'un code plus long serait peu pratique à mémoriser et à saisir pour un humain. Ce n'est pas un hasard si la plupart des codes de vérification par SMS comptent également 6 chiffres : c'est la longueur vers laquelle le secteur a convergé pour tout « code numérique éphémère à usage unique ».
Le prédécesseur du TOTP, le HOTP (RFC 4226, 2005), utilisait un compteur qu'il fallait incrémenter d'une unité à chaque utilisation d'un code. En pratique, cela provoquait de fréquents problèmes de synchronisation — un utilisateur oubliant d'appuyer sur un bouton, ou le compteur de l'appareil se désynchronisant de celui du serveur. Le TOTP, normalisé en 2011, a remplacé ce compteur par l'heure actuelle, une valeur de référence sur laquelle tout le monde peut s'accorder, simplifiant ainsi considérablement son fonctionnement.