Come funziona
La chiave e il passo temporale corrente si combinano con HMAC (SHA-1, SHA-256 o SHA-512) e si troncano in un numero di 6 o 8 cifre: il metodo TOTP della RFC 6238. Con un link otpauth:// cifre, periodo e algoritmo si impostano da soli. L’orologio del dispositivo deve essere più o meno giusto.
chiave + tempo ÷ 30 → HMAC-SHA1 → 6 cifre
Dov’è la chiave?
- Nuova configurazione: il sito mostra «non riesci a scansionare?» o «inserisci manualmente» accanto al QR — quella stringa è la chiave.
- Spazi e trattini nella chiave sono ignorati, e funziona anche il minuscolo.
- Chiave persa: questa pagina non può recuperarla. Registra di nuovo la verifica in due passaggi sul sito per averne una nuova.
Consigli
- Usala come visualizzatore di riserva, non come unica copia — tieni la chiave anche in un gestore di password.
- Se i codici sono sempre rifiutati, controlla prima l’orologio del dispositivo.
- Tutto gira nel tuo browser; non viene caricato nulla.
Standard e fonti
- Password monouso basate sul tempo (TOTP): RFC 6238; il nucleo HMAC: RFC 4226
- Codifica Base32: RFC 4648
Ultima revisione 12 ottobre 2026
Domande frequenti
Dove trovo la chiave?
Quando un sito mostra un QR per la verifica in due passaggi, di solito c’è un link «non riesci a scansionare?» o «inserisci manualmente» accanto — quella stringa è la chiave.
Perché i miei codici sono sempre rifiutati?
Quasi sempre è l’orologio: i TOTP dipendono dall’ora, quindi un dispositivo sfasato di minuti produce codici sbagliati. Controlla prima data e ora automatiche.
È sicuro incollare qui la chiave?
La pagina funziona tutta offline e la chiave non lascia mai il tuo browser. Usala comunque come visualizzatore di riserva e tieni la chiave anche in un gestore di password.
Cosa faccio se perdo la chiave?
Da qui non si può recuperare nulla. Disattiva e riattiva la verifica in due passaggi sul sito per avere una chiave nuova.