2FA Kod Oluşturucu: Gizli Anahtardan TOTP ve HOTP Kodu

Nasıl kullanılır?

Hizmetin iki adımlı giriş sayfasındaki gizli anahtarı alana yazın ya da QR kodunun içerdiği otpauth:// metnini yapıştırın. Yazdığınızı kontrol etmek için Göster düğmesine basın.
Hizmetin belirttiği Özet algoritması, Hane sayısı ve Süre değerlerini seçin. Birçok hizmet, Key URI Format'ın varsayılanlarını kullanır: SHA-1, 6 hane ve 30 saniye.
Sayaca dayalı bir hizmet için Sayaca dayalı (HOTP) seçeneğini işaretleyin ve sayacı girin; Sayaç + 1 onu bir ileri alır.
Kalan süre bitmeden Güncel kodu girin; cihazınızın saati biraz kaymışsa Önceki ve Sonraki kodlara bakın.

Kod nasıl üretilir?

HOTP (RFC 4226), gizli anahtar ve bir sayaç alır; sayacın özetli bir HMAC'ini hesaplar ve bu özetten dört bayt seçer (dinamik kesme). Bu baytların verdiği sayının 10'un hane sayısı kuvvetine göre modülü, kodu verir.

TOTP (RFC 6238), zamandan üretilen bir sayaçla çalışan HOTP'dir: Unix zamanı saniye cinsinden alınır, süreye bölünür ve aşağı yuvarlanır. Her süre yeni bir kod başlattığı için iki tarafın da saati doğru olmalıdır.

TOTP = HOTP(anahtar, floor(unix zamanı / süre));   HOTP = kes(HMAC(anahtar, sayaç)) mod 10^hane

Gizli anahtarlar ve otpauth:// adresleri

Gizli anahtar bir Base32 metnidir (RFC 4648): A'dan Z'ye harfler ve 2'den 7'ye rakamlar. Boşluklar yok sayılır ve dolgu karakterleri (=) yazılmayabilir. Bu kümenin dışında bir karakter ya da imkânsız bir uzunluk içeren anahtar reddedilir.

Bir otpauth:// adresi (Google'ın Key URI Format biçimi) türü, etiketi, gizli anahtarı ve isteğe bağlı olarak sağlayıcıyı, algoritmayı, hane sayısını, süreyi ve sayacı taşır. Eksik ayarlar biçimin varsayılanlarını alır: SHA1, 6 hane, 30 saniye ve sayaç 0.

Sayfa nasıl denetlendi?

Kod, RFC 4226 Ek D'deki test değerleriyle (sayaç 0'dan 9'a) ve RFC 6238 Ek B'deki değerlerle (altı zaman; SHA-1, SHA-256 ve SHA-512 için sekiz hane) sınanır. HMAC, tarayıcınızın SubtleCrypto arayüzüyle hesaplanır.

Örnek: RFC 6238 test anahtarı

RFC'nin test anahtarı 12345678901234567890 metnidir; Base32 karşılığı GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ'dur. Unix zamanı 59 iken, 30 saniyelik süreyle, TOTP'nin 1. adımı SHA-1 için sekiz haneli 94287082 kodunu verir.

Altı haneyle aynı adım 287082 verir; bu, RFC 4226'da sayaç 1'in kodudur ve sekiz haneli değerin son altı hanesidir.

Sık sorulan sorular

Gizli anahtar ya da kod bir sunucuya gönderiliyor mu?

Hayır. Kod tarayıcınızda hesaplanır ve sayfa gizli anahtarı ya da kodu içeren hiçbir istek yapmaz. Hiçbir şey saklanmaz; sayfayı yenilemek ikisini de unutturur.

Gerçek hesabımın gizli anahtarını buraya yapıştırmalı mıyım?

Yalnızca güvendiğiniz bir sayfada ve ekranınızı kimsenin görmediği bir ortamda. Gerçek bir hesap için normal yol, anahtarı günlük kullanım için saklayan kimlik doğrulama uygulamanızdır; bu sayfa kendi araçlarınız ve bir kez ihtiyaç duyduğunuz kodlar içindir.

Kod neden her 30 saniyede bir değişiyor?

Zamana dayalı bir kod (TOTP), Unix döneminden bu yana geçen süre sayısını kullanır; bu yüzden her süre yeni bir kod başlatır. Geri sayım, güncel kodun ne kadar süreyle geçerli olduğunu gösterir.

Kodum hizmetin uygulamasıyla neden eşleşmiyor?

Hizmetin belirttiği gizli anahtarı (yalnızca Base32), özet algoritmasını, hane sayısını ve süreyi kontrol edin; sonra cihazınızın saatinin doğru olduğuna bakın, çünkü zamana dayalı kod buna bağlıdır. Önceki ve sonraki kodlar küçük bir saat farkını görmenize yardımcı olur.

Hangi özet algoritmasını seçmeliyim?

Hizmetin belirttiğini seçin. SHA-1, RFC 4226'daki HOTP'nin ve otpauth biçiminin varsayılanıdır; RFC 6238, TOTP için SHA-256 ve SHA-512'ye de izin verir.

TOTP ile HOTP arasındaki fark nedir?

TOTP zamanı kullanır, bu yüzden kod her süreyle değişir. HOTP her kullanımda artan bir sayaç kullanır, bu yüzden sayaç değişene kadar kod aynı kalır.

otpauth:// metni ne işe yarar?

Key URI Format biçiminde, genellikle bir QR kodun içinde, iki adımlı bir anahtarın ayarlarını taşır. Buraya yapıştırmak gizli anahtarı, algoritmayı, hane sayısını, süreyi ve sayacı doldurur.

Kaynaklar

Rakamlar ve metin en son 10 Kasım 2026 Salı tarihinde kontrol edildi.