¿Cómo añado 2FA (Google Authenticator) a mi aplicación?
Genera un secreto TOTP para 2FA: una clave aleatoria + código QR listo para escanear para Google Authenticator, Authy, 1Password, Microsoft Authenticator y Aegis.
El estándar RFC 6238: secreto base32 de 160 bits + el URI estándar "otpauth://totp/..." que usan todas las apps 2FA populares.
Ideal para añadir 2FA a tu propia aplicación, probar integraciones o migrar el 2FA entre autenticadores.
Cómo usarlo
- "Issuer" = nombre de la app o servicio (p. ej. "MiServicio", "Banco ABC"). Aparece como título en el Authenticator.
- "Cuenta" = identificador del usuario (p. ej. "juan@empresa.com"). Aparece debajo del issuer.
- Deja los valores por defecto SHA-1, 6 dígitos, 30 s: el estándar del sector. Todos los Authenticator populares lo soportan.
- Escanea el QR con la app Authenticator del móvil. O copia el secreto e introdúcelo como "Setup Key".
- El móvil empezará a mostrar códigos de 6 dígitos que se renuevan cada 30 s.
- Guarda el secreto en un sitio seguro (papel, gestor de contraseñas). Sin él, si pierdes el móvil, no podrás recuperar el acceso. Genera también códigos de respaldo para más protección.
Cuándo es útil
Cuatro situaciones típicas en las que un generador de secretos TOTP resuelve un problema concreto:
- Construir tu propia app con 2FA. Genera un secreto por usuario y guárdalo en el servidor; aquí puedes probar el flujo antes de integrar una librería como otplib/speakeasy.
- Migrar de Google Authenticator a Authy/1Password/Aegis. Importa vía QR.
- Añadir 2FA a herramientas que no lo soportan de forma nativa (tu propio VPS, servicios privados con SSH-OTP).
- Formación. Ver exactamente cómo es un URI otpauth, qué campos lleva y cómo base32 codifica el secreto.
Para usuarios finales: si un servicio (Google, GitHub) te genera un QR, no necesitas esta herramienta: usa su flujo integrado.
Preguntas y respuestas
TOTP (Time-based One-Time Password): el estándar RFC 6238 para autenticación en dos pasos. La app Authenticator guarda un secreto compartido con el servidor; cada 30 segundos calcula un código de 6 dígitos a partir del secreto + la hora actual. El servidor hace lo mismo y compara. Un atacante que conozca tu contraseña pero no tenga el móvil con el Authenticator no puede entrar.