Tu secreto TOTP es información que merece un trato distinto

Modo invitado y cuenta no son el mismo flujo

En el modo invitado, las claves utilizadas para calcular TOTP se procesan en el navegador y no se envían al backend como parte de la generación de códigos. Los datos de esa sesión temporal no se conservan de forma predeterminada al recargar la página.

En el modo miembro, el acceso con Google identifica la cuenta de la bóveda; los elementos sensibles se cifran antes de sincronizarse. Eso no equivale a anonimato absoluto ni a prometer que todo tipo de dato técnico o de sesión esté ausente de un servicio web.

Reduce las copias que no controlas

Evita pegar claves secretas en buscadores, mensajes, herramientas de asistencia o extensiones que no conozcas. Una fotografía de un QR de configuración o de exportación puede contener las mismas credenciales que una cadena Base32.

La opción más prudente para una duda técnica es describir el error sin incluir secretos, códigos de recuperación, sesiones ni archivos de respaldo. Si sospechas una filtración, vuelve a configurar el segundo factor en el servicio afectado.

Lo que puedes revisar por tu cuenta

Antes de utilizar una herramienta de generación, verifica que has abierto el sitio previsto y evita extensiones innecesarias con permisos de lectura de páginas. Cuando termines con el modo invitado, cierra la pestaña para no dejar el secreto visible.

En un equipo compartido, no uses capturas para conservar códigos temporales. Si necesitas disponibilidad futura, decide expresamente si crear una bóveda cifrada es apropiado para ese dispositivo.

El portapapeles queda fuera del control completo de la página

El botón Copiar facilita llevar el número temporal al formulario correcto, pero el sistema operativo puede conservar el contenido del portapapeles y otras aplicaciones podrían leerlo. Cerrar o bloquear la bóveda no permite garantizar que todas esas copias desaparezcan al instante.

En un ordenador compartido, evita copiar la clave Base32 original. Es mejor utilizar un perfil de navegador propio, revisar los permisos de las extensiones y terminar la sesión cuando ya no necesites consultar los códigos.

• Pega únicamente el código temporal en el dominio legítimo.
• No envíes capturas de QR o secretos a un formulario de soporte.
• Si se difundió una clave, reemplázala en el servicio que la emitió.

Comprueba qué datos necesita cada flujo

El generador invitado utiliza una configuración TOTP y no necesita tu contraseña del servicio externo. El miembro usa una identidad Google para acceder a la cuenta de 2FASync, pero el material cifrado del Vault exige un desbloqueo distinto.

Que el servidor reciba elementos cifrados no significa que el servicio carezca de sesiones o metadatos de funcionamiento. Por eso se describen límites técnicos concretos y se evitan promesas de anonimato o certificaciones que no han sido verificadas.

¿Puedo compartir una clave TOTP para que me ayuden a corregir un error?

No es aconsejable. Utiliza datos sintéticos o una descripción del problema sin credenciales reales.