🔢 TOTP Generator (2FA)

RFC 6238 の Time-based One-Time Password を計算します。Google Authenticator / Authy / 1Password 互換。秘密鍵はブラウザ内のみで処理され、サーバーには送信されません。

秘密鍵（Base32）

⚠ 本物の 2FA 秘密鍵を入力する場合は、HTTPS / 信頼できる端末である事を確認してください

秘密鍵を入力するとコードが表示されます

詳細設定（アルゴリズム / 桁数 / 期間）

アルゴリズム

Google Authenticator は SHA-1（256/512非対応の実装が多い）

桁数

期間（秒）

一般的には 30 秒

otpauth:// URI 生成（QRコード化用）

Issuer（サービス名）

Label（アカウント名）

otpauth URI

otpauth://totp/secutils:user%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=secutils&algorithm=SHA1&digits=6&period=30

この URI を QR Code Generator に貼って QR 化すれば、認証アプリでスキャン登録できます。

💡 TOTP について

TOTP（RFC 6238）は HOTP（RFC 4226）の拡張。30秒ごとに変わるカウンター値で HMAC を計算し、6 桁を取り出す仕組みです。
2要素認証の「持ち物」要素として広く使われます（Google / GitHub / AWS 等のアカウントログイン）。
計算には正確な時刻が必要です。サーバーとクライアントの時刻が大きくずれているとコードが合いません。多くの実装は前後 1 ステップの猶予を持っています。
秘密鍵は紙で保管 / オフラインバックアップすることが強く推奨されます。スマホ紛失時に再設定不能になる事故が頻発します。
TOTP はフィッシングに弱い（攻撃者にコードを横流ししてしまう）ため、より強固な 2FA としては FIDO2 / Passkey が推奨されます。

📖 関連する解説記事

MFA、TOTP、FIDO2、Passkey の違い· 約 8 分 · Security

使い方と解説

TOTPワンタイムパスワードを生成する

TOTP Generator は、RFC 6238に基づく2FAワンタイムパスワードをブラウザ内で生成するツールです。Base32秘密鍵、otpauth URI、QR連携の確認に使えます。

入力データの扱い

秘密鍵と生成コードはブラウザ内で処理され、secutilsのサーバーへ送信されません。

2段階認証の検証に使う

TOTPは時間ベースで変化するワンタイムパスワードです。認証アプリと同じ値が出るか確認することで、秘密鍵、桁数、期間、アルゴリズムの設定ミスを見つけやすくなります。

秘密鍵の扱いに注意する

TOTPの秘密鍵を知っている人はワンタイムパスワードを生成できます。検証時は本番ユーザーの秘密鍵を不用意に共有せず、扱いに注意する必要があります。

作って変わったTOTPの理解

作る前は「認証アプリに表示される6桁の数字が30秒ごとに変わる」という程度の理解でした。実際に仕組みを調べると、ランダムな数字を生成しているのではなく、サーバーと認証アプリが共有する秘密鍵と現在時刻から同じコードを計算しているだけだと分かり、多少の時刻のズレを考慮する必要があることも理解できました。普段使っているMFAはGoogle AuthenticatorとPasskeyですが、認証アプリは一度設定すれば便利な反面スマホがないとログインできず、Passkeyはコード入力の手間がない代わりに対応状況や保存先を意識していないと戸惑うことがあります。「見た目」だけだったものが、裏側の仕組みまでイメージできるようになったのはこのツールを作った収穫です。