Los secretos TOTP, imágenes QR y códigos permanecen en esta pestaña. passwords.lu no los recibe. Cloudflare puede registrar vistas de página anónimas para fiabilidad del sitio (no tus secretos).
Servicio u organización, p. ej. GitHub.
Usuario o correo en la app autenticadora.
Para configuraciones nuevas, prefiere SHA-256 (moderno y alineado con NIST). Usa SHA-1 para máxima interoperabilidad (Google Authenticator, Authy, Apple Passwords y la mayoría de tokens). SHA-512 rara vez hace falta para códigos de 6 dígitos.
Cada cuánto se renueva el código.
Un secreto TOTP equivale a una copia de tu autenticador.
Genera un secreto para ver el QR, la URI y los códigos.
El problema: Muchos sitios muestran el QR solo una vez y luego la app ya no revela el secreto en bruto.
La solución: Abrí primero Decodificar, capturá el QR y después imprimí una hoja o guardá el Base32 offline antes de enrolar el teléfono.
El problema: Estás en un portátil, en una zona sin móviles, o el QR solo está en pantalla.
La solución: Captura → Decodificar para extraer el secreto → Probar para códigos en vivo en la misma máquina.
El problema: Re-enrolar un teléfono en cada wipe de base de pruebas es lento.
La solución: Generá secretos temporales, copiá URI otpauth:// y ejercitá t−1 / t+1 en Probar — luego borrá la página.
El problema: Los dígitos parecen correctos, pero el sitio los rechaza.
La solución: Pegá el secreto en Probar e introducí el del teléfono. Un match en t−1 o t+1 suele indicar desfase de reloj.
El problema: Vas a cambiar de autenticador y querés ver emisor, algoritmo y secreto primero.
La solución: Decodificar funciona offline con QR otpauth://totp individuales. Los exports multi-cuenta de Google Authenticator se detectan pero aún no se desempaquetan.
TOTP no detiene el phishing en tiempo real. Prefiere passkeys o FIDO2.
Más lectura
Después del generador, profundiza en contraseñas, passkeys, compartición segura e higiene de cuentas.