2FA 驗證碼產生器
貼上 2FA 密鑰，立即取得 6 位數驗證碼。 產生的驗證碼和 Google Authenticator 相同，計算全程在你的瀏覽器內完成。
開啟兩步驟驗證時，網站在 QR Code 旁提供的一串英文和數字（也叫「設定金鑰」）。 也可以貼上 otpauth:// 開頭的連結。空格、破折號和大小寫都不影響。
怎麼使用
找到密鑰
在網站開啟兩步驟驗證時，選擇「無法掃描？」或「手動輸入」，畫面上出現的一串英文和數字就是密鑰。
貼到上方
貼上後驗證碼會立刻出現，並且每 30 秒自動更新。
輸入驗證碼
按「複製」，再貼回網站完成驗證。 如果倒數只剩幾秒，等它換成下一組再用比較保險。
密鑰會被上傳嗎？
不會。 你在輸入框貼上的密鑰，只在你的瀏覽器裡計算，不會傳送到我們的伺服器。
- 頁面載入後只會送出兩種請求：校正裝置時鐘的「對時」，以及打開 QR Code 時載入的程式檔。 兩者都不包含密鑰。
- 用「複製連結」產生的網址，密鑰放在 # 符號後面。 瀏覽器不會把 # 後面的內容送給任何伺服器。
- 例外：如果你自己把密鑰寫進網址路徑（例如 nebarc.com/tools/2fa/你的密鑰），或使用下方的開發者 API，密鑰就會經過我們的伺服器。
常見問題
產生的驗證碼和 Google Authenticator 一樣嗎？
一樣。 Google Authenticator、Microsoft Authenticator、Authy、1Password 都採用同一套國際標準（TOTP，RFC 6238）。 只要密鑰相同、時間正確，算出來的驗證碼就相同。
這樣使用安全嗎？
密鑰不會被上傳，但密鑰本身非常重要：任何拿到它的人，都能隨時產生你的驗證碼。 所以安不安全，取決於你在哪裡使用、把密鑰交給了誰。
- 適合：手機不在身邊時臨時取得驗證碼、測試帳號、開發除錯。
- 不建議在公用電腦或別人的電腦上使用。
- 不建議把含密鑰的連結傳給不完全信任的人。
- 不建議把密鑰和密碼存在同一個地方，這會讓兩步驟驗證失去「第二道關卡」的保護。
密鑰要去哪裡找？
在網站開啟兩步驟驗證時，畫面通常會顯示 QR Code，旁邊有「無法掃描？」或「手動輸入」的選項，點下去就會看到密鑰。 大多數網站之後不會再顯示密鑰，想再取得通常要關閉兩步驟驗證、重新設定一次。
驗證碼被網站拒絕，要檢查什麼？
- 密鑰是否完整複製。 少一個字，算出來的驗證碼就會錯。
- 是不是剛好換碼。 等倒數結束、換成新的驗證碼後再試一次。
- 網站是否使用特殊設定（例如 8 位數或 60 秒更新一次）。 如果你有 otpauth:// 連結，貼上完整連結就會自動套用。
本頁會自動校正時間，所以裝置時鐘不準通常不是原因。
「下一組」驗證碼有什麼用？
它會在倒數結束時變成目前驗證碼。 先看到下一組，可以避免你剛複製的驗證碼在貼上前就過期。 有些網站會提前接受下一組，但並非每個網站都會，所以最保險的做法是等它變成目前驗證碼後再使用。
開發者 API
給腳本和自動化流程使用。 回應內容包含目前驗證碼、下一組驗證碼和剩餘秒數。
使用 API 時，密鑰會傳送到我們的伺服器。 我們的程式不會保存密鑰，也已關閉請求日誌；但如果是重要帳號，建議改用上方的網頁工具。
# 回傳 JSON
curl -X POST https://api.nebarc.com/tools/2fa/totp \
-H 'content-type: application/json' \
-d '{"secret":"JBSWY3DPEHPK3PXP"}'
# 純文字：只回傳 6 位數驗證碼
curl 'https://api.nebarc.com/tools/2fa/totp/JBSWY3DPEHPK3PXP?format=text'- 建議用 POST：密鑰放在請求內容裡，不會出現在網址中。
- 每個 IP 有使用頻率限制。 超過時會回應 HTTP 429，請依照回應標頭 Retry-After 的秒數等待後再試。