1. 01Base32のシークレット、または完全なotpauth://URIを貼り付けます。後者からはsecret、issuer、account、digits、period、algorithmが自動で取り出されます。
2. 02認証コードの桁数、周期、アルゴリズムを選びます。既定は多くの認証アプリと互換の6桁/30秒/SHA-1です。
3. 03現在の認証コード、残り秒数、次の認証コードを確認します。
4. 04160-bitのランダムシークレットを生成したり、URI/シークレットをコピーしてQRコードをダウンロードしたりできます。

• 実装は時間ベースカウンターのTOTPです。内部ではHOTPの計算関数を再利用していますが、ページに「カウンターを手動で進める」HOTPモードはありません。
• Base32はローカルのパーサーに受け入れられる必要があります。不正な文字やURIパラメータはエラーになります。
• TOTPは端末のシステム時刻に依存し、時計のずれはサーバーの認証コードとの不一致を招きます。ツールはオンラインで時刻を調整しません。
• QRコードはアプリ内のqrcodeライブラリがcanvasで生成し、完全なsecretを含みます。QRコードをダウンロードまたは共有することは、シークレットを共有することと同じです。
• issuer/accountはotpauthURIに入り、認証アプリのラベルに使われるだけです。認証コードの暗号学的な結果は主にsecret、時刻、桁数、周期、アルゴリズムで決まります。
• これは機密性の高い資格情報を扱うツールです。本ページがアップロードしないとしても、信頼できない端末で本番アカウントのシークレットを入力しないでください。

シークレットと認証コードはブラウザのメモリ内でWebCrypto HMACを使って計算されるだけです。実装はローカルストレージへの書き込みもサーバーへの送信も明示的に行わず、ページを再読み込みすると消えます。