Apa itu TOTP?

TOTP (Kata Sandi Satu Kali Berbasis Waktu) adalah algoritma yang banyak digunakan untuk menghasilkan kode autentikasi sementara yang berubah setiap 30 atau 60 detik. Didefinisikan dalam RFC 6238, TOTP adalah standar di balik aplikasi autentikator populer seperti Google Authenticator, Authy, dan Microsoft Authenticator.

Cara kerjanya: TOTP menggabungkan kunci rahasia bersama dengan waktu saat ini melalui fungsi hash HMAC untuk menghasilkan kode numerik pendek (biasanya 6 atau 8 digit). Karena server dan klien sama-sama memiliki rahasia yang sama dan menggunakan referensi waktu yang sama, mereka secara independen menghasilkan kode yang cocok tanpa komunikasi jaringan apa pun.

Kasus Penggunaan Umum

Autentikasi Dua Faktor (2FA)

Tambahkan lapisan keamanan ekstra di luar kata sandi untuk sistem login

Autentikasi Multi-Faktor (MFA)

Gabungkan dengan biometrik atau kunci perangkat keras untuk keamanan yang lebih kuat

Perlindungan Akun Layanan

Amankan kunci API, panel admin, dan akun layanan cloud

Pengembangan & Pengujian

Verifikasi implementasi TOTP selama pengembangan aplikasi

Cara Kerja TOTP

Algoritma mengambil kunci rahasia yang dikodekan Base32 dan stempel waktu Unix saat ini, membagi waktu dengan periode (misalnya, 30 detik) untuk mendapatkan nilai penghitung, kemudian menerapkan HMAC dengan algoritma hash pilihan (SHA-1, SHA-256, atau SHA-512). Hasilnya dipotong secara dinamis untuk menghasilkan kode numerik akhir.

Rumus TOTP

TOTP = Truncate(HMAC-SHA(secret, floor(time / period)))

Table of Contents

1. Apa itu TOTP?
- 1.1. Kasus Penggunaan Umum
- 1.2. Cara Kerja TOTP
2. Cara Menggunakan Pembuat TOTP
3. Fitur
4. Pertanyaan yang Sering Diajukan

Cara Menggunakan Pembuat TOTP

Hasilkan Kode dari Kunci Rahasia

Masukkan Kunci Rahasia

Masukkan kunci rahasia Base32 Anda di bidang input (misalnya, JBSWY3DPEHPK3PXP)

Hasilkan Kode Secara Otomatis

Kode TOTP akan dihasilkan secara otomatis dengan penghitung mundur

Sesuaikan Pengaturan

Konfigurasikan Algoritma (SHA-1, SHA-256, SHA-512), Digit (6 atau 8), dan Periode (30d atau 60d) sesuai kebutuhan

Salin Kode

Klik tombol salin untuk menyalin kode saat ini ke papan klip Anda

Impor dari URL otpauth://

Tempel URL

Tempel URL otpauth://totp/... langsung ke bidang input

Parsing Otomatis

Alat akan secara otomatis mengurai penerbit, nama akun, rahasia, dan semua pengaturan

Pembaruan Pengaturan

Kontrol pengaturan akan diperbarui agar sesuai dengan parameter URL

Impor dari Gambar Kode QR

Unggah QR

Klik tombol Unggah QR (ikon unggah) di header

Pilih Gambar

Pilih file gambar yang berisi kode QR TOTP

Dekode Otomatis

Kode QR akan didekode dan URL otpauth:// akan diurai secara otomatis

Simpan dan Kelola Akun

Setelah memasukkan rahasia, klik tombol Simpan untuk menyimpan akun
Anda akan diminta memasukkan nama untuk akun
Klik akun yang disimpan apa pun untuk memuat rahasia dan pengaturannya
Gunakan ikon pena atau klik dua kali nama akun untuk mengganti namanya
Gunakan tombol X untuk menghapus akun dari daftar yang disimpan

Ekspor sebagai Kode QR

Muat Rahasia

Masukkan atau muat kunci rahasia

Tampilkan QR

Klik tombol Tampilkan QR (ikon QR)

Pindai & Transfer

Pindai dengan aplikasi autentikator apa pun

Fitur

Algoritma Hash Ganda

Hasilkan kode TOTP dengan tiga algoritma HMAC:

SHA-1 — Default, paling kompatibel
SHA-256 — Keamanan ditingkatkan
SHA-512 — Keamanan maksimal

Pengaturan Kode yang Dapat Dikonfigurasi

Sesuaikan parameter pembuatan kode:

Kode 6 digit atau 8 digit
Periode 30 detik atau 60 detik
Penyesuaian otomatis dari URL otpauth://

Penghitung Mundur Waktu Nyata

Bilah kemajuan visual dengan indikator warna pintar:

Kuning pada 33% tersisa
Merah pada 5 detik
Pratinjau kode berikutnya ditampilkan

Dukungan Kode QR

Integrasi kode QR lengkap:

Impor dengan mengunggah gambar QR
Hasilkan kode QR dari rahasia
Transfer ke aplikasi autentikator seluler

Manajemen Multi-Akun

Simpan dan atur beberapa akun:

Simpan akun tak terbatas secara lokal
Muat cepat konfigurasi yang disimpan
Ganti nama dan hapus akun dengan mudah

Parsing URL otpauth://

Ekstraksi parameter URL otomatis:

Parsing rahasia dan informasi penerbit
Ekstrak algoritma dan pengaturan
Format autentikator standar

Data Anda Tetap Pribadi: Semua pembuatan TOTP terjadi di browser Anda menggunakan Web Crypto API. Kunci rahasia tidak pernah dikirim ke server mana pun, kami tidak mengumpulkan atau mencatat data autentikasi Anda, dan akun yang disimpan hanya disimpan di localStorage browser Anda.

Pertanyaan yang Sering Diajukan

Apa perbedaan antara TOTP dan HOTP?

TOTP (Berbasis Waktu) menggunakan waktu saat ini untuk menghasilkan kode yang berubah setiap 30 atau 60 detik. HOTP (Berbasis HMAC) menggunakan penghitung yang bertambah dengan setiap penggunaan.

TOTP lebih banyak diadopsi karena kode kedaluwarsa secara otomatis, mengurangi risiko serangan replay. Alat ini hanya mendukung TOTP.

Algoritma mana yang harus saya gunakan?

SHA-1 adalah algoritma default dan paling banyak didukung — gunakan kecuali layanan yang Anda siapkan secara khusus memerlukan SHA-256 atau SHA-512.

Sebagian besar layanan autentikator (Google, GitHub, AWS) menggunakan SHA-1 dengan 6 digit dan periode 30 detik.

Mengapa kode saya tidak cocok dengan nilai yang diharapkan?

Kode TOTP bergantung pada waktu sistem yang akurat. Jika jam perangkat Anda menyimpang lebih dari beberapa detik, kode yang dihasilkan mungkin tidak cocok.

Periksa bahwa waktu sistem Anda disinkronkan
Verifikasi pengaturan algoritma, jumlah digit, dan periode cocok dengan layanan
Pastikan kunci rahasia dimasukkan dengan benar

Apakah aman memasukkan kunci rahasia saya di sini?

Ya. Semua komputasi terjadi sepenuhnya di browser Anda menggunakan Web Crypto API. Kunci rahasia Anda tidak pernah ditransmisikan ke server mana pun.

Akun yang disimpan hanya disimpan di localStorage browser Anda dan hanya dapat diakses dari perangkat ini.

Bisakah saya menggunakan ini sebagai pengganti Google Authenticator?

Alat ini menghasilkan kode TOTP yang sama dengan Google Authenticator dan aplikasi autentikator lainnya. Anda dapat menggunakannya untuk pengembangan, pengujian, atau sebagai pembuat kode cadangan.

Rekomendasi: Untuk penggunaan 2FA sehari-hari, aplikasi autentikator seluler khusus direkomendasikan karena selalu dapat diakses di ponsel Anda.

Format apa yang harus dimiliki kunci rahasia?

Kunci rahasia harus dalam pengkodean Base32 (huruf A-Z dan digit 2-7).

Anda juga dapat:

Tempel URL otpauth://totp/... lengkap
Unggah gambar kode QR

Spasi dan karakter padding (=) dalam kunci Base32 secara otomatis dihapus.

Apakah akun yang disimpan saya dicadangkan?

Akun yang disimpan disimpan di localStorage browser Anda. Mereka bertahan di seluruh sesi tetapi tidak dicadangkan ke layanan cloud apa pun.

Penting: Menghapus data browser Anda akan menghapus akun yang disimpan. Pertimbangkan untuk mengekspor rahasia penting sebagai kode QR untuk cadangan.