ما هي رموز TOTP؟
عندما تفعّل التحقق بخطوتين في حساب ما وتستعمل تطبيقاً مثل Google Authenticator أو Microsoft Authenticator، يعطيك الموقع رمز QR يحتوي «مفتاحاً سرياً». يجمع التطبيق هذا المفتاح مع الوقت الحالي ليولّد رمزاً من 6 أرقام يتغير كل 30 ثانية. هذه الطريقة اسمها TOTP وهي معيار مفتوح (RFC 6238)، وهذه الأداة تطبّقه بالضبط داخل متصفحك.
متى تفيدك الأداة؟
- المطورون ومختبرو المواقع: اختبار ميزة التحقق بخطوتين في تطبيقك دون هاتف.
- فهم طريقة العمل: ترى كيف يتغير الرمز ولماذا يجب أن تكون ساعة الهاتف مضبوطة.
- التأكد من نسخة احتياطية: إن احتفظت بالمفتاح الاحتياطي، يمكنك التحقق أنه يعطي نفس رموز تطبيقك.
كيف تستخدمها؟
- الصق المفتاح السري (حروف وأرقام مثل
JBSWY3DPEHPK3PXP) أو رابطotpauth://كاملاً. - اترك الإعدادات الافتراضية (6 أرقام، 30 ثانية، SHA-1) فهي ما تستعمله أغلب المواقع.
- يظهر الرمز الحالي مع العد التنازلي والرمز التالي.
- لتجربة سريعة، اضغط «توليد مفتاح تجريبي جديد».
لماذا يرفض الموقع رمزاً صحيحاً أحياناً؟
السبب الأكثر شيوعاً هو اختلاف ساعة الجهاز عن الوقت الحقيقي بأكثر من 30 ثانية. فعّل ضبط الوقت التلقائي في جهازك. وتقبل أغلب المواقع الرمز السابق والتالي لتجاوز فروق بسيطة.
تحذير أمني مهم
المفتاح السري هو «العامل الثاني» نفسه: من يملكه يستطيع توليد رموزك. لذلك:
- لا تستعمل هذه الصفحة بديلاً دائماً لتطبيق المصادقة في هاتفك.
- لا ترسل المفتاح لأحد، ولا تلصقه في مواقع مجهولة. أي رسالة تطلب منك «رمز التحقق» أو المفتاح هي احتيال.
- احفظ رموز الاسترجاع (Recovery codes) التي يعطيك إياها الموقع في مكان آمن.
يتم الحساب كاملاً داخل متصفحك، والصفحة لا ترسل المفتاح ولا تحفظه. لمعرفة المزيد عن أهمية هذه الطبقة اقرأ مقالنا عن التحقق بخطوتين.