2FAコード生成・検証

TOTPコードは共有鍵と時刻から変わる

TOTP（Time-based One-Time Password）は、認証アプリなどの生成側とサービス側が同じ共有鍵を持ち、時刻を一定幅の区切りに分けて短いコードを作る方式です。両者で共有鍵、時間間隔、桁数、ハッシュ方式が一致している必要があります。このページは入力したBase32形式の鍵から現在のコードを表示し、残り時間も示します。入力したコードをサービスに照合して有効性を判定する機能ではありません。

RFC 6238では時間ステップの既定値として30秒を示しています。ページでは30秒または60秒を選べます。30秒の区切りをまたぐとコードが切り替わりますが、サービスがどの時間範囲まで受け付けるかは、そのサービス側の設定によります。

鍵の表記と生成結果

Base32は鍵データを英数字で表す形式で、鍵を隠したり暗号化したりする仕組みではありません。入力欄にはBase32文字列を使います。空白やハイフン、末尾の「=」は読み込み時に取り除かれ、小文字は大文字として扱われます。文字列に使用できない文字がある場合はエラーになります。

結果には現在のコード、次の切り替わりまでの秒数、正規化した鍵が表示されます。アカウント名と発行元を指定すると、登録用のotpauth URIとQRコードにも反映されます。URIとQRには共有鍵が含まれるため、鍵そのものと同じ機密情報として扱ってください。標準の説明はRFC 6238、Base32の定義はRFC 4648で確認できます（いずれも2026年10月1日確認）。

テスト用鍵でコードを作る

1. テスト用の共有鍵を準備

   開発環境や検証環境で発行したBase32鍵を入力するか、鍵のランダム生成を選びます。アカウント名と発行元は、URIやQRを見分けるためのラベルとして入力します。

2. サービス側と同じ条件にする

   対象のテスト環境で指定された桁数（6桁または8桁）、時間間隔（30秒または60秒）、SHA-1・SHA-256・SHA-512を選択します。わからない場合は、サービスの設定資料を確認してください。

3. コードと登録情報を確認

   表示されたコードと残り秒数を見ます。登録フローの確認では、URIをコピーするかQRを読み取り、テスト用の認証アプリへ登録します。生成側とサービス側で同じ鍵・条件を設定したうえで、テスト環境の画面から動作を確認してください。

設定の不一致を切り分ける

共有鍵とQRコードを認証情報として守る

共有鍵を知る人は、同じ時刻条件でコードを生成できます。otpauth URIとQRコードにも鍵が含まれるため、コードより長く使える認証情報として慎重に扱ってください。実アカウントの鍵を公開ページに入力したり、URI・QR・画面のスクリーンショットを他人と共有したりしないでください。このページの動作確認には、失効できるテスト用鍵とテストアカウントを使います。実アカウントの鍵を誤って共有した場合は、対象サービスで鍵を再発行するなどの対応を確認してください。

ここでコードが生成できても、対象アカウントで二要素認証が有効になったことや、サービス側でコードが受理されることを保証するものではありません。登録操作、鍵の保管、バックアップ、受け入れ可能な時間範囲はサービス側の案内に従ってください。