1. 01Base32-Schlüssel oder komplette otpauth://-URI einfügen; aus der URI werden secret, issuer, account, digits, period und algorithm automatisch herausgelesen.
2. 02Stellen, Periode und Algorithmus wählen; die Voreinstellung 6 Stellen/30 Sekunden/SHA-1 passt zu den meisten Authenticator-Apps.
3. 03Aktuellen Code, Restsekunden und den nächsten Code ablesen.
4. 04Optional einen 160-Bit-Zufallsschlüssel erzeugen oder URI/Schlüssel kopieren und den QR-Code herunterladen.

• Die Implementierung ist ein zeitbasierter TOTP; intern wird dieselbe HOTP-Funktion genutzt, doch die Seite bietet keinen HOTP-Modus mit manuell hochgezähltem Zähler.
• Base32 muss vom lokalen Parser akzeptiert werden; ungültige Zeichen oder URI-Parameter führen zu Fehlern.
• TOTP hängt von der Systemzeit des Geräts ab; eine Zeitabweichung lässt den Code vom Server abweichen, eine Netzzeit-Synchronisierung gibt es nicht.
• Der QR-Code wird in der App über die qrcode-Bibliothek auf einem Canvas erzeugt und enthält das vollständige Secret; wer den QR-Code herunterlädt oder weitergibt, gibt damit den Schlüssel weiter.
• issuer/account landen in der otpauth-URI und dienen nur als Label im Authenticator; das kryptografische Ergebnis hängt vor allem von secret, Zeit, Stellen, Periode und Algorithmus ab.
• Das ist ein Werkzeug für sensible Zugangsdaten: Auch wenn diese Seite nichts hochlädt, sollten produktive Kontoschlüssel nicht auf fremden Geräten eingegeben werden.

Schlüssel und Codes werden nur im Browser-RAM per WebCrypto-HMAC berechnet; die Implementierung schreibt nichts in den lokalen Speicher und sendet nichts an einen Server – ein Neuladen der Seite löscht alles.