एक इनपुट, एक लाइव कोड
सीक्रेट की या पूरा otpauth:// लिंक पेस्ट करें और ऑनलाइन 2FA कोड काउंटडाउन शुरू कर देता है — न सेटअप, न फ़ॉर्म, न “अकाउंट जोड़ें” की रस्म।
टाइमर
डिज़ाइन से ही प्राइवेट। कोड आपके ब्राउज़र में Web Crypto से बनते हैं। कीज़ इस डिवाइस की लोकल स्टोरेज में बिना एन्क्रिप्शन के कैश होती हैं — वे कभी यहाँ से बाहर नहीं जातीं (कोई सर्वर है ही नहीं), लेकिन जो कोई भी यह ब्राउज़र प्रोफ़ाइल खोल सके, वे पढ़ सकता है।
सीक्रेट की पेस्ट करें और 6 अंकों का कोड तुरंत पाएँ। Google Authenticator, Authy और Microsoft Authenticator का विकल्प: तेज़, फ्री और प्राइवेट — जब फ़ोन खो गया हो, टूट गया हो या आस-पास हो ही न।
न ऐप। न अकाउंट। कोई की सर्वर तक नहीं जाती।
// The whole tool. No servers involved.
const step = Math.floor(Date.now() / 1000 / 30);
const key = await crypto.subtle.importKey(
'raw', base32(secret), { name: 'HMAC', hash: 'SHA-1' });
const mac = new Uint8Array(
await crypto.subtle.sign('HMAC', key, u64(step)));
const o = mac[19] & 15;
const code = ((mac[o] & 0x7f) << 24 | mac[o+1] << 16
| mac[o+2] << 8 | mac[o+3]) % 1e6;
code.toString().padStart(6, '0'); // ← your 2FA code
0
हमारी तरफ़ सेव की गई कीज़ — सर्वर हैं ही नहीं जिन पर सेव होतीं
100%
कैलकुलेशन आपके डिवाइस पर ही, Web Crypto के ज़रिए
6238
लागू RFC स्टैंडर्ड — हर ऑथेंटिकेशन ऐप से कंपैटिबल
यह कैसे काम करता है
टू-स्टेप वेरिफिकेशन आपके अकाउंट्स पर दूसरा ताला लगाता है: एक कोड जो हर 30 सेकंड में बदलता है और एक शेयर्ड सीक्रेट की व मौजूदा समय से बनता है (TOTP — RFC 6238)। यह पेज वही दूसरा ताला है। आपका ब्राउज़र ठीक वही कैलकुलेशन चलाता है जो जिस साइट पर लॉगिन कर रहे हैं वह चलाती है।
चूँकि असल में सिर्फ़ सीक्रेट ही सब कुछ है, उसे एन्क्रिप्टेड पासवर्ड मैनेजर में रखकर कोड कहीं भी दोबारा बनाए जा सकते हैं — लैपटॉप, ब्राउज़र का दूसरा प्रोफ़ाइल, सफ़र का कंप्यूटर, ऑफ़लाइन भी।
नए हैं इस विषय में? आसान भाषा में लिखी समझ देखें: 2FA क्या है? TOTP कैसे काम करता है
अभी आज़माएँजब कोई सर्विस “टू-फ़ैक्टर ऑथेंटिकेशन → ऑथेंटिकेशन ऐप” दिखाए, तो “स्कैन नहीं हो पा रहा? सेटअप की दिखाएँ” चुनें। आपको JBSWY3DPEHPK3PXP जैसी Base32 स्ट्रिंग — या पूरा otpauth:// लिंक — मिलेगा। दोनों यहाँ चलते हैं।
की या URI जेनरेटर में पेस्ट करें, QR कोड का स्क्रीनशॉट पेज पर ड्रैग करें, या कैमरे से स्कैन करें। सब कुछ आपके डिवाइस पर ही डिकोड होता है — कुछ भी अपलोड नहीं होता।
सेकंडों में नया टोकन दिखता है, आपके डिवाइस की घड़ी से सिंक में। कॉपी पर क्लिक करें और लॉगिन पूरा करें। हर 30 सेकंड में ख़ुद-ब-ख़ुद रीन्यू हो जाता है।
फ़ीचर्स
सीक्रेट की या पूरा otpauth:// लिंक पेस्ट करें और ऑनलाइन 2FA कोड काउंटडाउन शुरू कर देता है — न सेटअप, न फ़ॉर्म, न “अकाउंट जोड़ें” की रस्म।
QR इमेज पर Ctrl+V, इमेज फ़ाइल ड्रैग करें, या वेबकैम से स्कैन करें। इंपोर्ट के तीन रास्ते, की लीक होने के शून्य रास्ते।
खालिस की पर स्टैंडर्ड वैल्यू लागू होती हैं; पूरा otpauth:// URI अपने साथ आए हर पैरामीटर की इज़्ज़त करता है — 6/7/8 अंक, 15/30/60 सेकंड का पीरियड, SHA-1/256/512, और काउंटर-आधारित HOTP भी।
पेज दोबारा खोलें, आख़िरी की पहले से मौजूद। हाल की कीज़ की सूची से एक क्लिक में कीज़ के बीच जाएँ — सिर्फ़ इसी डिवाइस की लोकल स्टोरेज से रिस्टोर होती है, किसी सर्वर से नहीं।
न मोबाइल ऐप, न अकाउंट, न सिंक की फ़ीस, न ट्रैकिंग। ब्राउज़र खोल सकते हैं, तो अपना टू-स्टेप वेरिफिकेशन कोड बना भी सकते हैं।
टैब दुनिया से पूरी तरह कटा चलता है — सचमुच। और PWA की तरह डॉक या होम स्क्रीन पर नेटिव ऐप बनकर इंस्टॉल हो जाता है।
कंपैटिबिलिटी
जिस सर्विस में “ऑथेंटिकेशन ऐप इस्तेमाल करें” का विकल्प है, वह यही स्टैंडर्ड TOTP कोड बनाती है — इनमें शामिल हैं:
किसी का सेटअप कर रहे हैं? स्टेप-बाय-स्टेप गाइड पढ़ें: GoogleMicrosoftDiscordGitHubXAWSCoinbaseKrakenSteamBinance
इस 2FA टूल के बारे में
लोग यहाँ एक ही चाहत लेकर आते हैं: एक टू-स्टेप वेरिफिकेशन कोड जो अभी, इसी वक़्त चले, बिना कुछ इंस्टॉल किए। 2FA COUNTER बिलकुल यही है। यह एक फ्री 2FA ऑथेंटिकेटर और ब्राउज़र-आधारित 2FA कोड जेनरेटर है: सीक्रेट की पेस्ट करें, QR कोड का स्क्रीनशॉट डालें या कैमरे से स्कैन करें — और मिलता-जुलता लाइव कोड सेकंडों में दिखता है और हर 30 सेकंड में अपने-आप रीन्यू होता है, ठीक मोबाइल ऐप की तरह — बस यहाँ इंस्टॉल करने को कुछ नहीं है।
2FA — टू-फ़ैक्टर ऑथेंटिकेशन — आपके अकाउंट का दूसरा ताला है: कुछ जो आपकोपता है, उसके साथ कुछ जो आपके पास है। चालू करने पर सर्विस आपको एक बार इस्तेमाल होने वाली शेयर्ड सीक्रेट की देती है। आपका ऑथेंटिकेटर उस सीक्रेट और मौजूदा समय से 6 अंकों का कोड बनाता है — यानी TOTP स्टैंडर्ड, RFC 6238 — और जिस साइट पर लॉगिन कर रहे हैं वह वही कैलकुलेशन करके नतीजे मिलाती है। चूँकि कोड हर 30 सेकंड में घूमता है, चोरी हुआ अकेला पासवर्ड कुछ भी नहीं खोलता। पूरी क्रिप्टोग्राफ़ी का सफ़र देखना हो तो आसान भाषा की यह समझ पढ़ें: 2FA क्या है? टू-स्टेप वेरिफिकेशन और TOTP कैसे काम करते हैं, और फिर लौटकर अपना पहला कोड बनाएँ।
लॉगिन के लिए जब भी कोड चाहिए, बस तीन चालें काफ़ी हैं। पहला, साइट पर टू-स्टेप वेरिफिकेशन चालू करें और “ऑथेंटिकेशन ऐप” चुनें; QR स्कैन न हो तो सेटअप की दिखाएँ — एक Base32 स्ट्रिंग या पूरा otpauth:// लिंक। दूसरा, वह की या URI इस पेज के ऊपर वाले जेनरेटर में पेस्ट करें, QR का स्क्रीनशॉट डालें या कैमरा इस्तेमाल करें। तीसरा, ताज़ा बना कोड कॉपी करके लॉगिन पूरा करें। जेनरेटर मिले हर otpauth पैरामीटर की इज़्ज़त करता है: 6, 7 या 8 अंकों के कोड, 15/30/60 सेकंड के पीरियड, SHA-1, SHA-256 या SHA-512 हैश, और काउंटर-आधारित HOTP। कुछ अपलोड नहीं होता, कुछ रिकॉर्ड नहीं होता — कोड आपके डिवाइस पर बनता है, और ब्राउज़र के नेटवर्क टैब से ख़ुद जाँच सकते हैं।
ज़्यादातर लोग यहाँ इसलिए आते हैं कि फ़ोन हाथ से निकल गया — बिक गया, टूट गया, डूब गया, फ़ॉर्मेट हो गया या सफ़र के बीच बैटरी मर गई — और Google Authenticator, Authy व Microsoft Authenticator सिर्फ़ उसी डिवाइस पर रहते हैं। ब्राउज़र-आधारित 2FA टूल यही अकेला फेल पॉइंट हटा देता है: सीक्रेट आपके पासवर्ड मैनेजर के वॉल्ट में महफ़ूज़ रहता है, और ऑनलाइन 2FA कोड किसी भी भरोसेमंद कंप्यूटर पर दोबारा बनाए जा सकते हैं। यह डेस्कटॉप काम के लिए भी फ़िट है — GitHub या AWS कंसोल में दूसरे मॉनिटर के साथ लॉगिन, हाल की कीज़ की सूची से कई अकाउंट्स संभालना, ऐसी मशीन पर काम जहाँ मोबाइल मना है। ऐप की तरह इंस्टॉल करें और नेटवर्क पूरी तरह बंद होने पर भी जेनरेटर चलता रहेगा। वही RFC 6238 का हिसाब जो हर सर्विस पहले से स्वीकारती है — बस जेब से निकालकर डेस्क पर रख दिया।
जो भी सुरक्षित करें, स्टैंडर्ड TOTP ही सबकी आम ज़ुबान है। Binance, Coinbase या Kraken पर ट्रेडिंग, AWS, Microsoft या Google के अकाउंट्स की सुरक्षा, Steam, Discord, X या ईमेल की हिफ़ाज़त — जो भी सर्विस “ऑथेंटिकेशन ऐप इस्तेमाल करें” देती है, वही प्रोटोकॉल बोलती है, इसलिए एक टूल सब संभाल लेता है। जब कोई साइट आपका कोड रिजेक्ट करे, तो लगभग हमेशा डिवाइस की घड़ी दोषी होती है, टूल नहीं: सिस्टम टाइम ऑटोमैटिक सिंक पर रखें, कोड फिर से मैच होने लगेंगे। मशहूर सर्विसेज़ के लिए हम इस जेनरेटर के साथ चलने वाली स्टेप-बाय-स्टेप सेटअप गाइड्स प्रकाशित करते हैं — फ़ीचर चालू करने से लेकर आख़िरी कोड पेस्ट करने तक।
यह उन चंद 2FA टूल्स में से है जिनके पास छिपाने को कुछ नहीं — क्योंकि छिपाने लायक़ कुछ है ही नहीं। न कीज़ भेजने वाले सर्वर, न बनाने के लिए अकाउंट, न प्रीमियम टियर, न टेलीमेट्री। हर कोड Web Crypto API से लोकल बनता है; आख़िरी की और हाल की कीज़ की छोटी सूची सिर्फ़ आपके अपने ब्राउज़र की स्टोरेज में रहती है और “सब साफ़ करें” से एक क्लिक में मिट जाती है। हर सीक्रेट की मास्टर कॉपी एन्क्रिप्टेड पासवर्ड मैनेजर में रखें, हर सर्विस के रिकवरी कोड भी संभाल कर रखें, और ताज़ा कोड की जल्दी की कोई भी माँग — वही लाल झंडा समझें जो वह है।
जब आप तैयार हों: जेनरेटर पेज के ऊपर है। एक की पेस्ट करें और देखिए लाइव कोड काउंटडाउन करता है — फ्री, प्राइवेट, ऑफ़लाइन चलता है, हमेशा के लिए।
सामान्य सवाल
अब भी शक है? यह टूल जो कुछ भी करता है, आपके ब्राउज़र की DevTools के नेटवर्क टैब में दिखता है: आपकी की ले जाने वाली शून्य रिक्वेस्ट।
2FA उसी अकाउंट से मिलता है जिसे आपको सुरक्षित करना है: उसकी सेटिंग्स खोलें, “सेक्योरिटी” या “साइन-इन और सिक्योरिटी” सेक्शन में जाएँ और “टू-फ़ैक्टर ऑथेंटिकेशन” या “टू-स्टेप वेरिफिकेशन” ढूँढें। ऑथेंटिकेशन ऐप का विकल्प चुनें, QR कोड स्कैन करें — या “स्कैन नहीं हो पा रहा?” पर क्लिक करके सेटअप की (एक Base32 स्ट्रिंग या otpauth:// URI) दिखाएँ — और उसे इस पेज के ऊपर मौजूद 2FA कोड जेनरेटर में पेस्ट करें। दिखने वाला लाइव कोड डालकर सेटअप कन्फ़र्म करें और सर्विस जो रिकवरी कोड दे, उन्हें संभाल कर रखें।
चार स्टेप, करीब दो मिनट: 1) अकाउंट या सिक्योरिटी सेटिंग्स खोलें और “टू-फ़ैक्टर ऑथेंटिकेशन” चुनें। 2) “ऑथेंटिकेशन ऐप इस्तेमाल करें” चुनें (बेहतर विकल्प होने पर SMS से बचें)। 3) QR कोड अपने ऑथेंटिकेटर से स्कैन करें — या फिर सेटअप की दिखाकर सेव कर लें। 4) लाइव कोड डालकर प्रोसेस पूरी करें और बैकअप कोड डाउनलोड या प्रिंट कर लें। हम Google, GitHub, Discord, Binance समेत कई सर्विसेज़ के लिए गाइड प्रकाशित करते हैं।
पासवर्ड के बाद सर्विस पहचान का दूसरा सबूत माँगती है। स्टैंडर्ड TOTP तरीके (RFC 6238) में आपका ऑथेंटिकेटर एक शेयर्ड सीक्रेट की और मौजूदा समय से 6 अंकों का कोड बनाता है, और सर्वर वही कैलकुलेशन करके दोनों की तुलना करता है। दो-स्टेप वेरिफिकेशन कोड हर 30 सेकंड में बदलता है और एक बार एक्सपायर होते ही बेकार हो जाता है — इस तरह अकेला लीक हुआ पासवर्ड आपका अकाउंट नहीं खोल सकता।
हर उस लॉगिन की रक्षा करता है जिसे कोई चुराना चाहे: ईमेल और क्लाउड सूट्स (Google, Microsoft, Apple), बैंकिंग और ब्रोकरेज, क्रिप्टो एक्सचेंज (Binance, Coinbase, Kraken), डेवलपर प्लेटफ़ॉर्म (GitHub, AWS), गेमिंग (Steam, Discord, Twitch) और सोशल मीडिया (X, Instagram)। कंपनियाँ इसे VPN, ईमेल और एडमिन कंसोल के लिए भी इस्तेमाल करती हैं। जहाँ भी “ऑथेंटिकेशन ऐप” का विकल्प मिले, समझिए 2FA का रास्ता वहीं है।
नहीं — और कोई भी सिक्योरिटी कंट्रोल 100% नहीं होता; ईमानदार गाइड्स यही कहती हैं। 2FA चोरी हुए पासवर्ड वाले हमलों को तो नाकाम कर देता है, लेकिन फ़िशिंग साइट पर टाइप किया ताज़ा कोड वैलिडिटी के दौरान ही स्कैम में चला जाता है, डिवाइस में पहले से मौजूद मैलवेयर सेशन ही हाईजैक कर सकता है, और SMS कोड SIM-स्वैप हमलों के आगे टिक नहीं पाते। इन सबके बावजूद, 2FA वाला अकाउंट बिना 2FA वाले से कहीं ज़्यादा खोलना मुश्किल है।
कोई सरकार इसे ज़रूरी नहीं कहती, लेकिन प्लेटफ़ॉर्म धीरे-धीरे इसे थोप रहे हैं: GitHub 2023 से कोड कंट्रिब्यूट करने वालों के लिए इसे माँगता है, बैंक और क्रिप्टो एक्सचेंज इसे ज़बरदस्ती चालू करते हैं, और नियोक्ता अक्सर ऑफ़िस एक्सेस के लिए इसे अनिवार्य रखते हैं। बाकी जगहों पर यह वैकल्पिक है, पर बेहद सिफ़ारिशी। अपने सबसे क़ीमती अकाउंट — ईमेल — में इसे ज़रूरी मानिए: जिसके पास आपका इनबॉक्स है, वही बाक़ी सब अकाउंट रीसेट कर सकता है।
क्योंकि पासवर्ड हर बार एक ही तरह फेल होते हैं। लीक से अरबों असली पासवर्ड पहले से सार्वजनिक हैं, और हमलावर उन्हें साइट-दर-साइट बार-बार आज़माते हैं (क्रेडेंशियल स्टफ़िंग)। Microsoft के मुताबिक़ 2FA 99.9% से ज़्यादा ऑटोमेटेड अकाउंट-टेकओवर कोशिशों को रोकता है — यही सबसे सस्ता उपाय है जो आपके ईमेल, बैंक, गेम्स और क्रिप्टो को असली ख़तरों से बचाता है।
यह पूरी तरह दूसरे फ़ैक्टर पर टिका है। SMS कोड सबसे कमज़ोर हैं: SIM-स्वैप में हमलावर आपका नंबर हथियाकर कोड ख़ुद पाता है। ऑथेंटिकेटर के TOTP कोड — 30 सेकंड वाले — कम्प्यूटेशनल तौर पर मज़बूत हैं: कुछ भी ट्रांसमिट नहीं होता, ऑफ़लाइन हमलावर उन्हें अंदाज़ा नहीं लगा सकता, और हर कोड सेकंडों में एक्सपायर हो जाता है। फ़िज़िकल सिक्योरिटी कीज़ और पासकीज़ सबसे मज़बूत हैं, क्योंकि वे फ़िशिंग के ख़िलाफ़ टिकती हैं और क्रिप्टोग्राफ़िक तौर पर असली डोमेन से बँधी होती हैं।
क्योंकि अकेले पासवर्ड का दौर ढह चुका है। बड़े पैमाने की लीक में अरबों क्रेडेंशियल सार्वजनिक हो गए, ऑटोमेटेड क्रेडेंशियल स्टफ़िंग से अकाउंट हाईजैक लगभग मुफ़्त हो गया, और प्लेटफ़ॉर्म अकाउंट चोरी की क़ीमत चुकाने से थक गए। रेगुलेटर्स ने भी धक्का दिया: NIST ने अपने अमेरिकी स्टैंडर्ड्स में SMS को ऑथेंटिकेशन से हटा दिया और यूरोपीय PSD2 मज़बूत कस्टमर ऑथेंटिकेशन माँगता है। जब कुछ दिग्गजों ने 2FA को नॉर्मल बनाया, बाक़ी सब सर्विसेज़ भी चल दीं।
नहीं। यह एक ब्राउज़र-आधारित 2FA टूल है: आधुनिक ब्राउज़र वाला कोई भी लैपटॉप, टैबलेट या डेस्कटॉप चलेगा — ऑनलाइन, या ऐप की तरह इंस्टॉल होने के बाद पूरी तरह ऑफ़लाइन। जब फ़ोन खो जाए, बिक जाए, टूट जाए, बैटरी ख़त्म हो जाए — या आपकी नौकरी में मोबाइल मना हो — तब यह मोबाइल ऐप की जगह ले लेता है।
हाँ। हर कैलकुलेशन Web Crypto API से आपके ब्राउज़र में ही होती है। आपकी सीक्रेट कीज़ कभी किसी सर्वर पर नहीं जातीं — न भेजी जाती हैं, न वहाँ उजागर होती हैं। पेज खोलकर इंटरनेट बंद कर दें, जेनरेटर फिर भी चलता रहेगा।
बिलकुल। 2FA COUNTER को ऐप की तरह इंस्टॉल करें (Add to Home Screen / Install) और यह नेटिव ऑथेंटिकेटर की तरह पूरी तरह ऑफ़लाइन चलेगा। कोड आपकी की और डिवाइस के घड़ी से बनते हैं — नेटवर्क की ज़रूरत नहीं।
लगभग हमेशा घड़ी का अंतर होता है। TOTP कोड समय पर निर्भर हैं: डिवाइस की घड़ी आधे मिनट भी आगे-पीछे हो तो कोड अमान्य हो जाता है। सिस्टम टाइम ऑटोमैटिक सिंक पर रखें (Windows में, डेट और टाइम सेटिंग्स में “Sync now”; macOS में, “Set date and time automatically”) और दोबारा कोशिश करें। जेनरेटर वही समय इस्तेमाल करता है जो आपका डिवाइस रिपोर्ट करता है — उसकी अपनी कोई घड़ी नहीं जिसे ठीक करना पड़े।
वे मोबाइल ऐप्स हैं; यह ब्राउज़र ऑथेंटिकेटर है। एल्गोरिद्म बिलकुल वही RFC 6238 TOTP है और यह हर उस सर्विस पर चलता है जो स्टैंडर्ड ऑथेंटिकेशन ऐप स्वीकारती है — लेकिन फ़ोन टूटने, बिकने या बैटरी ख़त्म होने पर एक्सेस कभी नहीं खोना पड़ता।
सिर्फ़ आपके ब्राउज़र में। आपकी आख़िरी की और “हाल की कीज़” की छोटी सूची (8 तक) इस डिवाइस की लोकल स्टोरेज में रहती है ताकि रीलोड पर जेनरेटर बरकरार रहे और एक क्लिक में की बदल सकें — हमारे सर्वर पर कभी नहीं, क्योंकि सर्वर हैं ही नहीं। कीज़ प्लेन टेक्स्ट में रहती हैं: यह ब्राउज़र प्रोफ़ाइल जो कोई भी खोले, वे पढ़ सकता है — इसलिए प्रोफ़ाइल को पासवर्ड मैनेजर के वॉल्ट की तरह संभालें। सूची के ऊपर वाला “सब साफ़ करें” — जो कन्फ़र्मेशन माँगता है — इनपुट खाली करना या ब्राउज़र डेटा साफ़ करना इन्हें हमेशा के लिए मिटा देता है; ओरिजिनल सीक्रेट पासवर्ड मैनेजर में मास्टर कॉपी की तरह रखें।
हाँ। सर्विस का दिया हुआ पूरा otpauth:// URI पेस्ट करें — उसमें मौजूद हर पैरामीटर अपने-आप लागू हो जाता है: 6, 7 या 8 अंक, 15/30/60 सेकंड के पीरियड, SHA-1/SHA-256/SHA-512 हैश और काउंटर-आधारित HOTP। खालिस Base32 की पर स्टैंडर्ड डिफ़ॉल्ट (6 अंक, 30 सेकंड, SHA-1) लागू होते हैं — जो ज़्यादातर सर्विसेज़ इस्तेमाल करती हैं।
हाँ — न अकाउंट, न प्रीमियम टियर, न लॉगिन। यह एक टूल है, सर्विस नहीं।
अपने सीक्रेट पासवर्ड मैनेजर में रखें, टू-स्टेप वेरिफिकेशन कोड यहीं बनाएँ, और किसी भी डिवाइस पर लॉग-इन रहें — इंटरनेट न हो तब भी।
अभी 2FA कोड बनाएँ