Comment récupérer mon code 2FA quand j'ai perdu mon téléphone Authenticator ?
Colle un secret TOTP (base32 ou URI otpauth://) et l'outil affiche le code actuel à 6 chiffres en direct avec un compte à rebours vers la prochaine rotation.
Exactement ce que Google Authenticator fait sur ton téléphone, dans le navigateur. Le secret n'atteint jamais un serveur.
Utile quand : tu as perdu le téléphone avec la 2FA et qu'il te faut un accès, tu veux un générateur de secours sur un poste de travail, tu debug une intégration 2FA dans ta propre appli.
Comment l'utiliser
- Colle un secret base32 (par exemple « JBSWY3DPEHPK3PXP ») ou une URI otpauth:// complète : l'outil détecte les URI et remplit chaque champ.
- Défauts : SHA-1 + 6 chiffres + 30s, ce qu'utilisent Google Authenticator, Authy, 1Password. Ne change qu'en cas d'exigence contraire du service.
- Le code actuel apparaît immédiatement avec une barre de compte à rebours vers la prochaine rotation.
- Clique sur le code = copie dans le presse-papiers.
- Au bout de 30 secondes, le code tourne automatiquement, comme l'Authenticator sur ton téléphone.
Quand c'est utile
Cinq situations typiques où un calculateur TOTP remplace l'appli téléphone :
- Récupération. Tu as perdu / cassé le téléphone avec la 2FA, mais tu as enregistré le secret (généralement avec les codes de secours à l'inscription) ; colle-le ici, récupère le code, connecte-toi.
- Debug. Tu écris une intégration 2FA et tu veux vérifier que ton backend renvoie les mêmes codes que Google Authenticator.
- Sauvegarde. La synchro cross-platform des secrets TOTP n'est toujours pas top ; garde ce calculateur en favori comme « appareil secondaire ».
- Pédagogie. Vois comment la 2FA fonctionne réellement : HMAC-SHA-1 + temps Unix + troncature dynamique = code à 6 chiffres.
- Audit de sécurité. Teste si une appli accepte des secrets faibles ou est vulnérable aux replay attacks.
Pour générer un nouveau secret, utilise le générateur de secret TOTP.
Questions et réponses
Non. Tout le calcul est local : on décode le secret base32 en bytes, on lance HMAC-SHA-1 avec le temps Unix via Web Crypto API, on prend le résultat modulo. Tu peux vérifier dans DevTools (Network), aucun upload.