Sobre el autenticador 2FA
Convierte una URI otpauth:// o una clave secreta en Base32 en códigos de doble factor en vivo. Cada cuenta muestra su contraseña de un solo uso basada en el tiempo (TOTP, RFC 6238) con una cuenta atrás hasta la siguiente, y basta un clic para copiarla. Las cuentas se guardan en tu navegador, así que los códigos siguen ahí cuando vuelves, y cada código se calcula en tu dispositivo con la API Web Crypto: detrás de esta herramienta no hay ningún servidor al que enviar un secreto.
Cómo usar el autenticador 2FA
-
Añade una cuenta
Pega la URI otpauth:// de tu gestor de contraseñas o del servicio en el que estás activando la verificación en dos pasos. Puedes pegar varias URIs a la vez, una por línea. Si solo tienes la clave secreta, cambia a la pestaña «Clave secreta» y escribe el nombre del servicio y la clave.
-
Lee el código actual
Cada cuenta muestra su código y los segundos que faltan para que cambie. La barra se pone roja en los últimos cinco segundos, cuando es más seguro esperar al siguiente código que apresurarse con el actual.
-
Cópialo y guarda una copia de seguridad
Haz clic en un código para copiarlo. Usa «Exportar» para descargar tus cuentas como URIs otpauth:// y poder restaurarlas aquí o importarlas en otro autenticador.
Casos de uso
Probar un inicio de sesión con 2FA
Genera códigos para cuentas de staging y de pruebas en el mismo equipo en el que desarrollas, en lugar de registrar un teléfono para cada entorno.
Comprobar una URI de aprovisionamiento
Cuando implementes TOTP en tu propia aplicación, pega la URI otpauth:// que genera y confirma que el algoritmo, los dígitos y el periodo producen los códigos que espera tu servidor.
Códigos en un navegador de escritorio
Ten los códigos de las cuentas de bajo riesgo a una pestaña de distancia en un equipo de confianza, en lugar de tener que buscar el teléfono cada vez.
Preguntas frecuentes
¿Mis claves secretas se envían a un servidor?
No. La herramienta no tiene ningún componente en el servidor. Las claves se leen del texto que pegas, se guardan en el localStorage de este navegador y se convierten en códigos con la API Web Crypto en tu dispositivo. Además, la zona que muestra tus cuentas queda excluida de la analítica del sitio y de la grabación de sesiones.
¿Cómo se guardan las claves secretas? ¿Es seguro?
Se guardan sin cifrar en el localStorage de este navegador. Cualquiera que pueda usar este perfil del navegador, y cualquier extensión maliciosa que pueda leer la página, puede leerlas. Además, tener el segundo factor en el mismo navegador en el que escribes la contraseña lo debilita como segundo factor. Para las cuentas importantes, usa una app de autenticación dedicada o una llave de seguridad física, y usa esta herramienta en un dispositivo de confianza.
¿Qué pasa si borro los datos del navegador?
Las cuentas se borran y no se pueden recuperar. No hay sincronización ni copia en la nube. Exporta una copia de seguridad después de añadir cuentas y conserva los códigos de recuperación que te dio cada servicio al activar la verificación en dos pasos.
¿Qué cuentas admite?
Códigos basados en el tiempo (otpauth://totp) con SHA-1, SHA-256 o SHA-512, de 6 a 8 dígitos y con cualquier periodo, lo que cubre casi todos los servicios. No admite HOTP (basado en contador), los códigos de Steam Guard ni los enlaces de exportación masiva de Google Authenticator (otpauth-migration://). No incluye lector de QR: decodifica el código QR con el Lector de códigos QR de Tooly y pega el texto otpauth:// que te devuelva.
¿Por qué me rechazan el código?
Los códigos dependen del reloj de tu dispositivo, así que, si va desfasado más de unos treinta segundos, el servicio no aceptará los códigos. Activa la hora automática en tu sistema operativo. Si el reloj está bien, comprueba que copiaste la clave secreta completa y que el algoritmo, los dígitos y el periodo coinciden con los que indicó el servicio.
Herramientas relacionadas
Explora todas las herramientas online gratis de Tooly: todas funcionan en tu navegador y ninguna necesita cuenta.