1. 01Cole uma chave Base32 ou uma URI otpauth:// completa; no segundo caso, os campos secret, issuer, account, digits, period e algorithm são separados automaticamente.
2. 02Escolha a quantidade de dígitos, o período e o algoritmo; o padrão de 6 dígitos, 30 s e SHA-1 é compatível com a maioria dos autenticadores.
3. 03Veja o código atual, os segundos restantes e o próximo código.
4. 04Gere uma chave aleatória de 160 bits, ou copie a URI/chave e baixe o QR code.

• A implementação é TOTP baseado em contador de tempo; por baixo ela reutiliza a função de cálculo do HOTP, mas a página não tem modo HOTP com incremento manual do contador.
• A Base32 precisa ser aceita pelo analisador local; caracteres ou parâmetros de URI inválidos geram erro.
• O TOTP depende do relógio do dispositivo, e um desvio de horário faz o código divergir do servidor; a ferramenta não sincroniza o relógio pela rede.
• O QR code é desenhado em canvas pela biblioteca qrcode do próprio app e contém a chave completa; baixar ou compartilhar o QR code equivale a compartilhar a chave.
• issuer e account entram na URI otpauth apenas como rótulo do autenticador; o resultado criptográfico depende principalmente da chave, do horário, dos dígitos, do período e do algoritmo.
• É uma ferramenta para credenciais sensíveis: mesmo sem upload, não digite chaves de contas de produção em um dispositivo em que você não confia.

Chaves e códigos são calculados apenas na memória do navegador, com HMAC do WebCrypto; a implementação não grava nada no armazenamento local nem envia nada a servidores, e recarregar a página apaga tudo.