2FA 验证码在线生成器
粘贴 2FA 密钥，立即获取 6 位验证码。 生成的验证码与谷歌验证器相同，计算全程在你的浏览器内完成。
开启两步验证时，网站在二维码旁提供的一串英文和数字（也叫“设置密钥”）。 也可以粘贴 otpauth:// 开头的链接。空格、短横线和大小写都不影响。
怎么使用
找到密钥
在网站开启两步验证时，选择“无法扫描？”或“手动输入”，页面上出现的一串英文和数字就是密钥。
粘贴到上方
粘贴后验证码会立刻出现，并且每 30 秒自动更新。
输入验证码
点“复制”，再粘贴回网站完成验证。 如果倒计时只剩几秒，等它换成下一组再用更保险。
密钥会被上传吗？
不会。 你在输入框粘贴的密钥，只在你的浏览器里计算，不会发送到我们的服务器。
- 页面加载后只会发出两种请求：校准设备时钟的“对时”，以及打开二维码时加载的程序文件。 两者都不包含密钥。
- 用“复制链接”生成的网址，密钥放在 # 符号后面。 浏览器不会把 # 后面的内容发送给任何服务器。
- 例外：如果你自己把密钥写进网址路径（例如 nebarc.com/tools/2fa/你的密钥），或使用下方的开发者 API，密钥就会经过我们的服务器。
常见问题
生成的验证码和谷歌验证器一样吗？
一样。 Google Authenticator、Microsoft Authenticator、Authy、1Password 都采用同一套国际标准（TOTP，RFC 6238）。 只要密钥相同、时间正确，算出来的验证码就相同。
这样使用安全吗？
密钥不会被上传，但密钥本身非常重要：任何拿到它的人，都能随时生成你的验证码。 所以安不安全，取决于你在哪里使用、把密钥交给了谁。
- 适合：手机不在身边时临时获取验证码、测试账号、开发调试。
- 不建议在公用电脑或别人的电脑上使用。
- 不建议把含密钥的链接发给不完全信任的人。
- 不建议把密钥和密码存在同一个地方，这会让两步验证失去“第二道关卡”的保护。
密钥去哪里找？
在网站开启两步验证时，页面通常会显示二维码，旁边有“无法扫描？”或“手动输入”的选项，点开就能看到密钥。 大多数网站之后不会再显示密钥，想再获取通常要关闭两步验证、重新设置一次。
验证码被网站拒绝，要检查什么？
- 密钥是否完整复制。 少一个字，算出来的验证码就会错。
- 是不是刚好换码。 等倒计时结束、换成新的验证码后再试一次。
- 网站是否使用特殊设置（例如 8 位或 60 秒更新一次）。 如果你有 otpauth:// 链接，粘贴完整链接就会自动应用。
本页会自动校准时间，所以设备时钟不准通常不是原因。
“下一组”验证码有什么用？
它会在倒计时结束时变成当前验证码。 提前看到下一组，可以避免你刚复制的验证码在粘贴前就过期。 有些网站会提前接受下一组，但并非每个网站都会，所以最保险的做法是等它变成当前验证码后再使用。
开发者 API
供脚本和自动化流程使用。 返回内容包含当前验证码、下一组验证码和剩余秒数。
使用 API 时，密钥会发送到我们的服务器。 我们的程序不会保存密钥，也已关闭请求日志；但如果是重要账号，建议改用上方的网页工具。
# 返回 JSON
curl -X POST https://api.nebarc.com/tools/2fa/totp \
-H 'content-type: application/json' \
-d '{"secret":"JBSWY3DPEHPK3PXP"}'
# 纯文本：只返回 6 位验证码
curl 'https://api.nebarc.com/tools/2fa/totp/JBSWY3DPEHPK3PXP?format=text'- 建议用 POST：密钥放在请求体里，不会出现在网址中。
- 每个 IP 有调用频率限制。 超过时会返回 HTTP 429，请按照响应头 Retry-After 的秒数等待后再试。