De code ontstaat uit meer dan alleen zes cijfers

Wat er achter een otpauth-adres zit

Een TOTP-adres kan een naam, uitgever, Base32-sleutel, hash-algoritme, aantal cijfers en periode bevatten. Alleen de naam is niet genoeg om de code te bepalen of de oorsprong van een QR te controleren.

De browser berekent de benodigde TOTP-waarde voor het huidige tijdvak. Er hoeft geen verzoek met de gastensleutel naar een externe codeserver om de getoonde cijfers te maken.

Waarom twee apparaten dezelfde cijfers kunnen tonen

Als twee apparaten over hetzelfde geheim en dezelfde tijdinstelling beschikken, kunnen ze tegelijk dezelfde code tonen. Dat is geen defect; het is wel een reden om geen kopie van het geheim te delen.

Heb je privé- en werkaccounts bij dezelfde aanbieder, let dan extra op het label. De ene code kan correct zijn voor het ene account en toch voor het andere worden afgewezen.

Controleer de bestemming voordat je kopieert

Een bijna verlopen code kan tijdens het plakken ongeldig worden. Wacht een volgend tijdvak af en voer de code uitsluitend in op het echte aanmeldscherm van de bedoelde dienst.

Een TOTP vervangt geen wachtwoord en is geen vaste sleutel voor een automatisering. Bij een storing kun je klok en profiel controleren zonder de geheime sleutel naar een onbekende tool te uploaden.

Bewaar ik de cijfers of de sleutel voor later?

De huidige cijfers zijn tijdelijk. Voor toekomstig gebruik is de oorspronkelijke configuratie nodig, en juist die moet veilig worden bewaard.