Generatore di token 2FA / TOTP
Genera un codice TOTP a 6 cifre da un segreto base32. Funziona interamente nel tuo browser: il tuo segreto non viene mai caricato, registrato o inviato in rete.
Informazioni su questo generatore TOTP
Un codice TOTP (Time-based One-Time Password, RFC 6238) è il codice variabile a 6 cifre mostrato dall'app di autenticazione. Si ottiene applicando HMAC-SHA1 a un segreto condiviso e a una finestra temporale di 30 secondi, quindi troncando il risultato a sei cifre. È lo stesso algoritmo usato da Google Authenticator, Authy, Microsoft Authenticator e Duo: con lo stesso segreto base32 e un orologio sincronizzato, ogni implementazione produce esattamente lo stesso codice. Un generatore TOTP online è utile in situazioni specifiche: il telefono è stato smarrito, danneggiato o cancellato prima di trasferire la 2FA; l'app di autenticazione non si apre più dopo un aggiornamento del sistema operativo (OS); un collega deve accedere a un account di servizio condiviso prima del passaggio di consegne del turno di reperibilità; oppure uno sviluppatore automatizza test end-to-end e ha bisogno di un codice TOTP senza scriverne da zero la procedura di generazione.
È importante considerare il compromesso: inserire un segreto condiviso TOTP in un sito web, compreso questo, significa che il JavaScript della pagina lo gestisce per un breve istante e che un operatore malevolo potrebbe in teoria sottrarlo. Riduciamo il rischio eseguendo tutto nel browser: il segreto non viene mai caricato, registrato o inviato a un endpoint di analisi. Puoi verificarlo: prima di incollarlo, apri la scheda Network dei DevTools e controlla che nessuna richiesta in uscita contenga il segreto. Per l'uso quotidiano resta preferibile un'app di autenticazione dedicata o un gestore di password come Bitwarden o 1Password. Questo strumento è pensato per un caso occasionale: ottenere subito un codice di emergenza quando non puoi attendere la sostituzione del telefono.
Perché usare questo generatore
Solo nel browser
Il segreto base32 non lascia mai il dispositivo: apri i DevTools e controlla la scheda Network per verificare che non venga caricato nulla.
Nessun account, tracciamento o limite di richieste
Nessuna registrazione, nessun captcha e nessun limite per IP. È utile per il recupero di emergenza quando non riesci a superare una schermata di accesso.
Conforme a RFC 6238
Stessa finestra HMAC-SHA1/30 secondi di Google Authenticator, Authy e Microsoft Authenticator: i codici corrispondono byte per byte.
Domande frequenti
In cosa differisce da Google Authenticator?
L'algoritmo è identico: entrambi calcolano un HMAC-SHA1 dal segreto base32 e dalla finestra temporale corrente di 30 secondi, quindi troncano il risultato a sei cifre. Cambia lo scopo: Google Authenticator conserva a lungo termine molti segreti su un singolo dispositivo. Questo strumento è un'utilità web senza stato: incolla un segreto, ottieni un codice e chiudi la scheda. Usa Google Authenticator, o la funzione TOTP di un gestore di password come Bitwarden, per la 2FA quotidiana; ricorri a questo generatore quando ti serve un codice occasionale al di fuori di quel flusso.
È sicuro inserire il mio segreto TOTP su un sito web?
A rigor di termini, nessun generatore TOTP online è sicuro quanto conservare il segreto soltanto in un'app di autenticazione sul telefono. Un sito malevolo potrebbe eseguire JavaScript che invia di nascosto il segreto a un server tramite una richiesta POST. La misura di sicurezza più trasparente è la verificabilità: questo strumento funziona interamente lato client, quindi prima di incollare puoi aprire la scheda Network dei DevTools e controllare che nulla lasci il dispositivo. Se il segreto protegge un account importante, come quello bancario, l'e-mail di lavoro o le criptovalute, preferisci una vera app di autenticazione e usa uno strumento web soltanto in caso di effettiva emergenza.
Che cos'è una chiave segreta TOTP/base32?
Quando attivi la 2FA su un servizio, viene generato un segreto condiviso: una stringa casuale mostrata di solito come codice QR e come stringa base32 di 16-32 caratteri (lettere A-Z e cifre 2-7). L'app di autenticazione scansiona il codice QR per memorizzare il segreto. Incollando la stessa stringa in questo strumento otterrai gli stessi codici. Se non l'hai salvata durante la configurazione iniziale della 2FA, non puoi recuperarla: il segreto è memorizzato soltanto sul dispositivo. Dovrai disattivare e configurare di nuovo la 2FA da una sessione in cui hai già effettuato l'accesso.
Perché il codice cambia ogni 30 secondi?
TOTP combina il segreto con il tempo Unix corrente, suddiviso in finestre di 30 secondi. Ogni 30 secondi il numero della finestra aumenta di uno: l'input HMAC cambia e viene generato un nuovo codice a 6 cifre. La finestra breve limita l'utilità di un codice rubato: chi lo ottiene tramite phishing ha al massimo 30 secondi, spesso meno, per riutilizzarlo prima che il server lo rifiuti. Alcune implementazioni usano finestre di 60 secondi, ma 30 secondi è il valore predefinito previsto da RFC 6238 e adottato da Google Authenticator.
Posso usarlo se perdo il telefono?
Solo se conservi ancora il segreto base32, per esempio annotato, stampato in un PDF di recupero, memorizzato in un gestore di password o salvato come schermata del codice QR originale. È il segreto a generare i codici: senza di esso, nessuno strumento può ricreare i numeri a 6 cifre mostrati dal vecchio telefono. Se non lo hai più, usa la procedura di recupero dell'account del servizio, tramite codici di backup, opzione SMS o verifica dell'identità, e configura nuovamente la 2FA sul nuovo dispositivo.
Funziona con i codici Google Authenticator?
Sì: Google Authenticator implementa lo standard TOTP esattamente come specificato in RFC 6238 (HMAC-SHA1, finestra di 30 secondi, output a 6 cifre, segreto base32). Se incolli lo stesso segreto base32 che hai originariamente scansionato in Google Authenticator, questo strumento produce lo stesso codice a 6 cifre. Lo stesso vale per Authy, Microsoft Authenticator, Duo Mobile, 1Password TOTP e Bitwarden TOTP. Steam Guard utilizza un alfabeto personalizzato, quindi i codici non corrisponderanno: per Steam è necessario un generatore specifico per Steam.
Cosa succede se il mio codice non funziona?
Quasi sempre dipende da uno scostamento dell'orologio. TOTP richiede che il dispositivo e il server concordino sull'ora corrente entro una finestra di 30 secondi. Se l'orologio del computer è più sfasato, il server rifiuta il codice. Verifica che l'ora di sistema sia sincronizzata (Impostazioni → Data e ora → Imposta automaticamente), quindi riprova. Altre possibili cause sono un errore nel segreto base32, per esempio un carattere mancante, spazi finali oppure l'uso di un segreto Steam, che adotta un alfabeto diverso, in un generatore TOTP standard.
Dovrei usare questo strumento a lungo termine?
No. Per l'uso quotidiano della 2FA, scegli un'app di autenticazione dedicata (Google Authenticator, Authy, Microsoft Authenticator, Aegis su Android, Raivo su iOS) oppure la funzione TOTP del tuo gestore di password (Bitwarden, 1Password, Proton Pass). Questi strumenti sono progettati per conservare in sicurezza molti segreti e mantenerli disponibili quando cambi dispositivo grazie alla sincronizzazione crittografata. Il generatore serve per una singola emergenza: incolla il segreto, copia il codice e chiudi la scheda. Se lo apri ogni giorno, configura invece una vera app di autenticazione.