Jak dodać 2FA (Google Authenticator) do mojej aplikacji?
Generator sekretu TOTP dla 2FA: tworzy losowy klucz + gotowy kod QR do zeskanowania w Google Authenticator, Authy, 1Password, Microsoft Authenticator, Aegis.
Standard RFC 6238: 160-bitowy sekret w base32 + URI w formacie "otpauth://totp/..." używanym przez wszystkie popularne aplikacje 2FA.
Idealny do dodania 2FA do własnej aplikacji, testowania integracji, migracji 2FA między managerami.
Jak korzystać
- "Issuer" = nazwa aplikacji/serwisu (np. "MójSerwis", "Bank ABC"). Wyświetla się w Authenticator jako tytuł.
- "Account" = identyfikator użytkownika (np. "jan@firma.pl"). Pokazuje się pod issuerem.
- Zostaw domyślnie SHA-1, 6 cyfr, 30s, to standard branżowy. Wszystkie popularne Authenticator-y obsługują.
- Zeskanuj QR aplikacją Authenticator na telefonie. Albo skopiuj sekret i wpisz ręcznie jako "Setup Key".
- Telefon zacznie wyświetlać 6-cyfrowe kody odświeżające się co 30s.
- Zapisz sekret w bezpiecznym miejscu (papier, menedżer haseł). Bez tego, jak zgubisz telefon, nie odzyskasz dostępu. Wygeneruj też backup codes jako dodatkową ochronę.
Do czego się przydaje
Cztery typowe sytuacje, w których generator sekretu TOTP rozwiązuje konkretny problem:
- Tworzysz własną aplikację z 2FA. Generujesz sekret per-user, zapisujesz po stronie serwera; tu możesz przetestować flow zanim podepniesz bibliotekę typu otplib/speakeasy.
- Migracja Google Authenticator → Authy/1Password/Aegis. Importujesz przez QR.
- Dodawanie 2FA do narzędzi, które nie wspierają tego natywnie (własny VPS, prywatne serwisy via SSH-OTP).
- Edukacja. Zobacz dokładnie jak wygląda otpauth URI, jakie pola są wymagane, jak base32 koduje sekret.
Dla typowego użytkownika: jeśli serwis (Google, GitHub itp.) sam generuje QR, NIE potrzebujesz tego narzędzia, użyj wbudowanego flow.
Pytania i odpowiedzi
TOTP (Time-based One-Time Password): standard RFC 6238 do uwierzytelniania dwuskładnikowego. Aplikacja Authenticator przechowuje współdzielony sekret z serwerem; co 30 sekund liczy 6-cyfrowy kod na podstawie sekretu + aktualnego czasu. Serwer wykonuje to samo obliczenie i porównuje. Atakujący, który zna hasło, ale nie ma telefonu z Authenticator, nie wejdzie.