Comment ça marche
La clé et le pas de temps courant sont combinés par HMAC (SHA-1, SHA-256 ou SHA-512), puis tronqués en un nombre à 6 ou 8 chiffres — la méthode TOTP de la RFC 6238. Avec un lien otpauth://, chiffres, période et algorithme sont réglés automatiquement. L’horloge de l’appareil doit être à peu près juste.
clé + temps ÷ 30 → HMAC-SHA1 → 6 chiffres
Où est la clé ?
- Nouvelle installation : le site affiche « impossible de scanner ? » ou « saisie manuelle » à côté du QR code — cette chaîne est la clé.
- Espaces et tirets dans la clé sont ignorés, et les minuscules marchent aussi.
- Clé perdue : cette page ne peut pas la récupérer. Réinscrivez la double authentification sur le site pour en avoir une nouvelle.
Astuces
- Servez-vous en comme visionneuse de secours, pas comme seule copie — gardez la clé aussi dans un gestionnaire de mots de passe.
- Si les codes sont toujours rejetés, vérifiez d'abord l'horloge de votre appareil.
- Tout tourne dans votre navigateur ; rien n'est envoyé.
Normes et sources
- Mots de passe à usage unique basés sur le temps (TOTP) : RFC 6238 ; le cœur HMAC : RFC 4226
- Encodage Base32 : RFC 4648
Dernière vérification 12 octobre 2026
Questions fréquentes
Où trouver la clé ?
Quand un site vous montre un QR code pour configurer la double authentification, il y a souvent un lien « impossible de scanner ? » ou « saisie manuelle » à côté — cette chaîne est la clé.
Pourquoi mes codes sont-ils toujours rejetés ?
Presque toujours l'horloge : le TOTP dépend de l'heure, donc un appareil décalé de quelques minutes produit de mauvais codes. Vérifiez d'abord la date et l'heure automatiques.
Est-ce sûr de coller ma clé ici ?
La page marche tout hors ligne et la clé ne quitte jamais votre navigateur. Considérez-la quand même comme une visionneuse de secours et gardez la clé aussi dans un gestionnaire de mots de passe.
Et si je perds la clé ?
Rien ici ne peut la récupérer. Désactivez puis réactivez la double authentification sur le site pour obtenir une nouvelle clé.