L'outil TOTP accepte une clé Base32 ou une URI otpauth:// complète, puis calcule dans le navigateur le code TOTP courant et le suivant avec un HMAC WebCrypto fondé sur un compteur temporel. Vous pouvez régler 6/7/8 chiffres, une période de 5–300 secondes et SHA-1/SHA-256/SHA-512, ou régénérer une URI otpauth et un QR code à partir des paramètres en cours.

1. 01Collez une clé Base32 ou une URI otpauth:// complète ; dans ce second cas, secret, issuer, account, digits, period et algorithm sont extraits automatiquement.
2. 02Choisissez le nombre de chiffres, la période et l'algorithme ; les valeurs par défaut (6 chiffres, 30 s, SHA-1) restent compatibles avec la plupart des authentificateurs.
3. 03Lisez le code courant, les secondes restantes et le code suivant.
4. 04Vous pouvez générer une clé aléatoire de 160 bits, copier l'URI ou la clé, et télécharger le QR code.

• L'implémentation repose sur un TOTP à compteur temporel ; elle réutilise en interne la fonction de calcul HOTP, mais la page n'expose pas de mode HOTP à compteur incrémenté à la main.
• La clé Base32 doit être acceptée par l'analyseur local ; un caractère invalide ou un paramètre d'URI incorrect déclenche une erreur.
• Le TOTP dépend de l'heure système de l'appareil : un décalage d'horloge désynchronise le code de celui du serveur, et l'outil ne se connecte à aucun service de synchronisation.
• Le QR code est produit dans un canvas par la bibliothèque qrcode intégrée et contient le secret complet : le télécharger ou le partager revient à partager la clé.
• issuer et account entrent dans l'URI otpauth et ne servent qu'à l'étiquette de l'authentificateur ; le résultat cryptographique du code dépend avant tout du secret, du temps, du nombre de chiffres, de la période et de l'algorithme.
• C'est un outil qui manipule des identifiants sensibles : même si cette page n'envoie rien, mieux vaut éviter de saisir une clé de compte de production sur un appareil non fiable.

La clé et les codes sont calculés uniquement en mémoire dans le navigateur, via HMAC WebCrypto ; l'implémentation n'écrit rien dans le stockage local et n'envoie rien à un serveur. Un simple rafraîchissement de la page efface tout.