// 工具 · 账号安全
2FA 验证码生成器
粘贴 2FA 密钥（比如卖家发给你的 32 位密钥）或 otpauth:// 链接，马上得到当前的二次验证码，用法和谷歌验证器一样。
所有计算在你的设备上完成，不上传RFC 6238 TOTPSHA1 · SHA256 · SHA5126/8 位 · 30/60 秒
1. 输入密钥
在上面粘贴密钥或 otpauth:// 链接。
高级选项：位数、周期、算法
Google、GitHub、微软等绝大多数网站用 6 位、30 秒、SHA1。粘贴 otpauth 链接会自动填好。
2. 验证码
–
验证码按你设备的时钟计算；网站总说码不对时，先把系统时间设为自动同步。
⚠ 这个链接就等于密钥本身：任何人打开它都能生成你的验证码。密钥放在“#”后面，浏览器不会把这部分发给服务器，页面打开时也会立刻从地址栏抹掉。只存在自己的私人书签里，不要发给别人。
01使用说明
- 复制 2FA 密钥（Base32，例如 32 位）或 otpauth:// 链接，粘贴到输入框。空格、横线和小写会自动处理。
- 当前验证码会立即显示，每 30 秒自动刷新，进度条是剩余有效时间。点“复制”，粘贴到登录页面。
- 倒计时快结束时，等下一个码（显示在当前码下面）再填，免得刚提交就过期。
- 用完直接关掉页面，什么都不会保存。
02妥善保管密钥
- 密钥和密码一样重要：谁拿到它谁就能算出有效验证码。不要在聊天里转发，也不要存在共享文档里。
- 密钥是别人给你的（比如买号附带的），登录后在账号安全设置里重新绑定两步验证，换一个只有你知道的新密钥。
- 做好备份：把密钥或网站给的备用码离线保存，换手机或丢手机时还能登录。
- 我们如何保证不外传：验证码由本页用 crypto.subtle 计算；页面不会发出任何带密钥的网络请求，不把密钥写进 Cookie 或本地存储，也不让它出现在地址栏和访问统计里。你可以在浏览器开发者工具的“网络”面板里自己核对。
更多小工具：工具总览 →
常见问题
这个 2FA 验证码生成器安全吗？密钥会上传吗？
验证码用浏览器自带的 Web Crypto（RFC 6238 TOTP 算法）在你的设备上计算。页面里没有任何把密钥发出去的代码：不提交表单、不放进网址参数、不写 Cookie 或本地存储，也不进访问统计。页面打开后断网也能继续用。注意：任何拿到密钥的人都能生成你的验证码，密钥要像密码一样保管。
能当谷歌验证器网页版用吗？
它和 Google Authenticator 等大多数验证器 App 用的是同一个标准（TOTP，默认 SHA1、6 位、30 秒），同一个密钥在同一时间算出的验证码相同。本页不保存密钥，关掉页面就没了；日常长期使用，建议把密钥存进手机上的验证器 App。
2FA 密钥在哪里找？
开启两步验证时网站会显示一个二维码，旁边通常有“无法扫描？”或“手动输入密钥”，点开就是 Base32 密钥（字母 A–Z 和数字 2–7，常见 16 位或 32 位）。二维码里存的是一条 otpauth:// 链接，也可以直接粘贴到这里。
验证码总是提示错误怎么办？
TOTP 验证码和时间绑定，先确认设备时间是自动同步的，误差超过约 30 秒就会算错。再检查位数、周期、算法是否和网站一致（绝大多数是 6 位、30 秒、SHA1）。倒计时快结束时，等下一个码再填。
买来的账号附带的 2FA 密钥该怎么处理？
卖家手里也有这个密钥，能算出和你一样的验证码。登录后尽快在账号的安全设置里重新绑定你自己的验证器（会生成新密钥，旧密钥作废），同时改掉密码和恢复邮箱。
支持哪些格式？
支持 Base32 密钥（自动去掉空格和横线，大小写都行）和 otpauth://totp/ 链接（自动读出密钥、发行方、账号、位数、周期和算法）；可选 6 或 8 位、30 或 60 秒、SHA1 / SHA256 / SHA512。浏览器支持 BarcodeDetector 时，还能在本地识别二维码图片。不支持计数器型的 HOTP 和 Steam 令牌。