ひとつの入力欄、ひとつのライブトークン
秘密鍵または otpauth:// リンク全体を貼り付ければ、対応するコードがすぐにカウントダウンを始めます — セットアップも、フォームも、「アカウント追加」の儀式もありません。
タイマー
最近のキー
プライバシー第一の設計。コードは Web Crypto によってお使いのブラウザー内で生成されます。キーはこの端末のローカルストレージに暗号化されずに保存されます — キーが端末の外に出ることはありません（サーバーは存在しません）が、このブラウザープロファイルを開ける人なら誰でも読めます。
100% 端末内で完結 · ゼロ知識
2FAコード生成ツール（ライブTOTP）
秘密鍵を貼り付ければ、6桁のコードがすぐにライブ表示されます。スマホが手元にない、壊れた、充電切れ — そんなときに頼れる、Google Authenticator 代替の無料オンライン認証アプリです。
アプリ不要。アカウント不要。鍵がサーバーに触れることは、一度もありません。
otp.rfc-6238.js
// The whole tool. No servers involved.
const step = Math.floor(Date.now() / 1000 / 30);
const key = await crypto.subtle.importKey(
'raw', base32(secret), { name: 'HMAC', hash: 'SHA-1' });
const mac = new Uint8Array(
await crypto.subtle.sign('HMAC', key, u64(step)));
const o = mac[19] & 15;
const code = ((mac[o] & 0x7f) << 24 | mac[o+1] << 16
| mac[o+2] << 8 | mac[o+3]) % 1e6;
code.toString().padStart(6, '0'); // ← your 2FA code
0
当サイト側に保存される鍵の数 — 保存するためのサーバーがそもそも存在しません
100%
計算があなたの端末上だけで完結 — Web Crypto による処理です
6238
実装している RFC 標準 — あらゆる認証アプリと互換性があります
仕組み
スマホ不要。3ステップで2FAコードをライブ表示。
二段階認証は、アカウントに第二の鍵を追加します。30秒ごとに値が変わり、共有シークレットと現在時刻から導出されるコードです （TOTP — RFC 6238）。このページが、その第二の鍵になります。あなたのブラウザは、ログイン先のサイトとまったく同じ計算を実行するのです。
本体が意味を持つのはシークレットそのものだけなので、暗号化されたパスワードマネージャーに保管しておけば、コードはどこででも 再生成できます — ノートPCでも、別のブラウザプロファイルでも、持ち出しの端末でも、オフラインでも。
初めての方は、平易な解説記事もどうぞ： 2FAとは？TOTPの仕組み
今すぐ試す- 01
秘密鍵を入手する
サービスで「二段階認証 → 認証アプリ」と表示されたら、「スキャンできない場合？セットアップキーを表示」を選びます。JBSWY3DPEHPK3PXP のような Base32 文字列、または otpauth:// リンク全体が入手できます。どちらもここで使えます。
- 02
貼り付ける、ドロップする、スキャンする
鍵や URI をジェネレーターに貼り付けるか、QRコードのスクリーンショットをページにドロップするか、カメラで読み取ります。すべて端末上でデコードされ、何もアップロードされません。
- 03
ライブコードをコピー
数秒で新しいトークンが表示され、端末の時計に同期されます。コピーしてログインを完了しましょう。コードは30秒ごとに自動更新されます。
機能
認証アプリができることをすべて — しかも多くの面で上回る
スクリーンショットを貼れば鍵になる
Ctrl+V でQRコードの画像を貼る、画像ファイルをドロップする、ウェブカメラでスキャンする。インポートの入口は3つ、鍵が漏れる出口はゼロです。
パラメータを全面的にサポート、自動判別
鍵だけなら標準のデフォルト、otpauth:// URI 全文なら含まれるパラメータをすべて反映 — 6／7／8桁、15／30／60秒周期、SHA-1／256／512、カウンタ方式の HOTP まで。
更新に強く、切り替えも一行
ページを開き直しても、最後の鍵がすでにそこにあります。「最近の鍵」リストならワンクリックで鍵を切り替えられます — 復元元はこの端末のローカルストレージだけで、サーバーからは決して。
インストールも登録も不要
スマホアプリも、アカウントも、同期の課金も、トラッキングもありません。ブラウザを開けられる人なら、コードを作れます。
オフライン対応・インストール可能
タブを閉じても、通信を絶っても動きます。それは文字通りの話です。そして PWA としては、ネイティブアプリのようにドックやホーム画面にインストールできます。
この2FAツールについて
2FA COUNTER — ブラウザの中で生きる2FA認証アプリ
みなさんがここにたどり着く理由は、おおむね同じです。今すぐ、何もインストールせずに、動く認証コードが欲しい。それこそが 2FA COUNTER です。無料のブラウザベース2FA認証アプリ・コードジェネレーターであり、秘密鍵を貼り付けるか、QRコードの スクリーンショットをドロップするか、カメラで読み取れば、対応するライブコードが数秒で表示され、スマホのアプリと同じように 30秒ごとに自動更新されます — 違いは、インストールが一切要らないことだけです。
2FAとは？60秒でわかる答え
2FA（二段階認証）は、アカウントの第二の鍵です。知っているものに加えて、持っているもの。有効にすると、サービスから 一度きりの共有シークレットが渡されます。認証アプリは、そのシークレットと現在時刻から新しい6桁のコードを導出します （TOTP標準、RFC 6238）。ログイン先のサイト側ではまったく同じ計算が走り、結果が比較されます。コードは30秒ごとに 交代するため、盗まれたパスワードだけではもう何も開けられません。暗号の全体像を知りたい方は、平易な解説記事 2FAとは？二段階認証とTOTPの仕組み を読んでから、ここに戻って最初のコードを 生成してみてください。
3ステップでコードを取得する方法
ログインにコードが要るとき、揃えるのはたった3つの入力です。まず、サイトで二段階認証を有効にして「認証アプリ」を選び、 QRコードが読み取れないときはセットアップキー（Base32 文字列、または otpauth:// リンク全体）を表示させます。次に、 その鍵や URI をこのページ上部のジェネレーターに貼り付けるか、QR のスクリーンショットをドロップするか、カメラを使います。 最後に、新しいコードをコピーしてサインインを完了します。ジェネレーターは otpauth のあらゆるパラメータに対応しています： 6／7／8桁、15／30／60秒周期、SHA-1・SHA-256・SHA-512 のハッシュ、カウンタ方式の HOTP まで。何もアップロードされず、 何も記録されません — コードはあなたの端末上で計算されており、ブラウザのネットワークタブでご自身でも確かめられます。
スマホに頼らない2FA認証アプリ
このページに訪れる多くの人は、スマホを失った側です。売った、壊れた、水没した、初期化した、出張先で電池切れ — そして Google Authenticator、Authy、Microsoft Authenticator は、その端末にしか住んでいません。ブラウザの2FAツールは、 その単一障害点を取り除きます。シークレットはパスワードマネージャーの金庫に置いたまま、信頼できるどのコンピュータでも コードを再生成できるのです。デスクトップの流れにもよく合います。セカンドモニタで GitHub や AWS コンソールに サインインする、複数アカウントを「最近の鍵」リストで切り替える、スマホ持ち込み禁止の端末で作業する。アプリとして インストールすれば、ネットワークを完全に切ってもジェネレーターは動き続けます。どのサービスも既に受け付けている RFC 6238 の計算を、ポケットから解き放っただけの話です。
暗号資産・クラウド・ゲーム・SNSまで、ひとつのツールで
何を守っていても、標準の TOTP は共通言語です。Binance や Coinbase、Kraken での取引、AWS・Microsoft・Google アカウントの封鎖、Steam・Discord・X、あるいは受信箱の防衛 — 「認証アプリを使う」の選択肢があるサービスすべてが、 同じプロトコルを話します。つまり、ひとつのツールですべてを覆えます。サイトがコードを弾いたときの原因は、ほぼ必ず 端末の時計であってツールではありません。OS の時刻を自動同期に設定すれば、コードは再び揃います。主要なサービス向けには、 このジェネレーターと併用できる ステップバイステップの設定ガイド を、機能の有効化から 最後のコードを貼るところまで通して公開しています。
送らない、保存しない、支払いもない
隠すべきものが何ひとつ存在しない、数少ない2FAツールです。鍵を送りつける先のサーバーも、作るアカウントも、プレミアム プランも、テレメトリもありません。すべてのコードは Web Crypto API による手元の計算で組み立てられます。最後に入力した 鍵と短い「最近の鍵」リストはあなたのブラウザストレージにだけ存在し、「すべて消去」のワンクリックで消去できます。 すべてのシークレットのマスターコピーは暗号化されたパスワードマネージャーに保管し、各サービスのリカバリーコードも 保存してください。そして、新しいコードを急かしてくる不審な要求は、それが何を意味しているのか — 赤い旗として 扱いましょう。
準備ができたらいつでもどうぞ。ジェネレーターはページの最上部にあります。鍵を貼り付けて、ライブコードがカウントダウン するのをご覧ください — 無料で、非公開で、オフライン対応で、ずっと。
FAQ
よくある質問 — 率直に回答します
まだ迷っていますか？このツールがすることは、すべてブラウザの DevTools のネットワークタブで確認できます： あなたの鍵を運ぶリクエストは 0件 です。
2FAコードはどうやって取得するのですか？
保護したいアカウントの設定を開き、「セキュリティ」や「ログインとセキュリティ」の中から「二段階認証」や「2段階認証（2ステップ認証）」の項目を探します。認証アプリを選び、QRコードを読み取るか、「スキャンできない場合」からセットアップキー（Base32文字列または otpauth:// URI）を表示させて、このページ上部のジェネレーターに貼り付けてください。ライブコードを入力して設定を確定したら、サービスが表示するリカバリーコードは必ず保存しておきましょう。
2段階認証を有効にするにはどうすればいいですか？
手順は4つ、所要時間はおよそ2分です。1) アカウントまたはセキュリティ設定を開き、「二段階認証」を選択する。2) 「認証アプリを使う」を選ぶ（より良い選択肢がある限り、SMSは避けましょう）。3) お使いの認証アプリでQRコードを読み取るか、セットアップキーを表示して保存する。4) ライブコードを入力して完了したら、バックアップコードをダウンロードまたは印刷します。Google、GitHub、Discord、Binance などのサービス別ガイドも公開しています。
2FAの仕組みはどうなっていますか？
パスワードの入力後、サービスは本人確認の第二の情報を求めてきます。標準の TOTP 方式（RFC 6238）では、認証アプリが共有シークレットと現在時刻から6桁のコードを算出し、サーバー側でもまったく同じ計算を行ってこの2つを照合します。コードは30秒ごとに再生成され、有効期限が過ぎれば無価値になるため、パスワードが漏れてもそれ単独ではアカウントを開けられません。
2FAは何のために使われていますか？
他人がログインを狙うあらゆる窓口を守ります。メールとクラウド（Google、Microsoft、Apple）、銀行・証券口座、暗号資産取引所（Binance、Coinbase、Kraken）、開発者向けプラットフォーム（GitHub、AWS）、ゲーム（Steam、Discord、Twitch）、SNS（X、Instagram）など。企業では VPN、メール、管理コンソールにも使われています。サイトに「認証アプリ」の選択肢があれば、それが2FAの経路です。
2FAは100%安全なのですか？
いいえ — 100%安全なセキュリティ対策は存在せず、誠実なガイドはそう明言しています。2FAはパスワード流出攻撃をほぼ無力化しますが、有効な30秒の間に偽サイトへ入力されたコードはフィッシングに悪用され得ますし、端末に仕込まれたマルウェアはセッションそのものを乗っ取れますし、SMSコードはSIMスワップ攻撃の餌食になることもあります。それでも、2FAが設定されたアカウントは、設定されていないアカウントよりはるかに突破が難しいのです。
2FAは義務ですか？
法律で義務化している国はありませんが、取り入れるプラットフォームは増え続けています。GitHub は2023年以降コードの投稿者に必須とし、銀行や暗号資産取引所は強制にしており、勤務先のログインで求められるのも珍しくありません。それ以外では任意ですが、強く推奨されます。とはいえ、最も価値のあるアカウント — 自分のメールアカウント — では必須として扱いましょう。受信箱を支配された人が、それ以外のすべてをリセットできてしまうからです。
2FAがこれほど重要なのはなぜですか？
パスワードが、いつも同じ経路で破られてきたからです。数十億件もの実在するパスワードが流出事件で既に公開されており、攻撃者はそれを昼夜を問わず別のサイトに再利用します（クレデンシャルスタッフィング）。Microsoft の報告によれば、2FAは自動化されたアカウント乗っ取り攻撃の99.9%以上を防ぎます。現実に起こる脅威からメール・銀行・ゲーム・暗号資産を守れる、最も安価な強化策なのです。
2FAの強度はどのくらいですか？
第二の要素次第です。SMSコードが最も弱く、SIMスワップで電話番号を奪われればコードも受け取られてしまいます。TOTP認証コード — 30秒ごとに切り替わる種類 — は計算量的に強固です。何も送信されず、オフラインの攻撃者には導出できず、一つひとつが数秒で失効します。セキュリティキーとパスキーはフィッシング耐性があり、本来のドメインに暗号的に紐付くため、その中でも最強です。
なぜ今はどこも2FAを使うのですか？
パスワードだけの時代が崩壊したからです。産業規模の流出事件が数十億件の認証情報を晒し、自動化されたクレデンシャルスタッフィングでアカウント乗っ取りはほぼ無償で行えるようになりました。規制も追随しています。米国 NIST の標準では SMS 認証が非推奨とされ、EU の PSD2 は強力な顧客認証を義務付けています。大手が2FAを普通にしてしまえば、他のサービスが続くのは自然の成り行きです。
この認証ツールを使うのにスマホは必要ですか？
必要ありません。これはブラウザで動く2FAツールです。モダンブラウザの載ったノートPC、タブレット、デスクトップならどこでも動作し、アプリとして追加すれば完全オフラインでも使えます。スマホが紛失・売却・故障・電池切れのとき、あるいは職場で持ち込みが認められていないときでも、スマホのアプリの代わりを務めます。
2FA COUNTER は安全に使えますか？
はい。すべての計算は Web Crypto API によって、あなたのブラウザ内だけで行われます。秘密鍵がサーバーへ送信されることも、サーバーから見られることも、決してありません。ページを読み込んだ後にネットから切断しても、ジェネレーターは動き続けます。
オフラインでも使えますか？
もちろんです。2FA COUNTER をアプリとして追加（ホーム画面に追加／インストール）すれば、ネイティブの認証アプリのように完全オフラインで動きます。コードは秘密鍵と端末の時計から導出されるので、ネット接続は一切不要です。
2FAコードが拒否されるのはなぜですか？
ほとんどの場合、時計のずれが原因です。TOTPコードは時刻基準なので、端末の時計がわずか30秒でもずれていればコードは無効になります。OS の時刻を自動同期に設定して（Windows なら日付と時刻の設定にある「今すぐ同期」、macOS なら「日付と時刻を自動的に設定」）、もう一度お試しください。ジェネレーターは端末が報告する時刻で計算しており、直してくれる時計を自前では持っていません。
Google Authenticator や Authy とは何が違うのですか？
あちらはスマホアプリ、こちらはブラウザで動く認証ツールです。アルゴリズムはまったく同じ RFC 6238 TOTP で、標準の認証アプリを受け付けるすべてのサービスと連携します。Google Authenticator 代替としての決定的な違いは、認証アプリの乗換を検討している人にもうれしく、スマホが壊れても売っても電池切れでも、アクセスを失わないことです。
鍵はどこに保存されますか？
自分のブラウザの中だけです。最後に入力した鍵と直近の「最近の鍵」リスト（最大8件）は、この端末のローカルストレージに保存されているため、ページを更新してもジェネレーターは復元され、ワンクリックで鍵を切り替えられます — 当社のサーバーには保存されません。そもそもサーバーが存在しないのですから。鍵は平文で保存されるため、このブラウザプロファイルを開ける人は誰でも読めます。プロファイルはパスワードマネージャーの金庫室のように扱ってください。リスト上の「すべて消去」（確認ダイアログ付き）、入力欄のクリア、またはブラウザデータの削除で完全に消去されます。原本のシークレットは、パスワードマネージャーにマスターコピーとして保管しておきましょう。
HOTP、8桁コード、SHA-256 系のサービスでも使えますか？
はい。サービスが発行する otpauth:// URI を丸ごと貼り付けば、それに含まれるすべてのパラメータが自動で反映されます — 6／7／8桁、15／30／60秒周期、SHA-1／SHA-256／SHA-512 のハッシュ、カウンタ方式の HOTP まで。鍵のみ（Base32）を貼った場合は標準のデフォルト（6桁、30秒、SHA-1）が適用されますが、ほぼすべてのサービスがこのデフォルトを使用しています。
本当に無料ですか？
はい — アカウント登録も、プレミアムプランも、ログインもありません。これはサービスではなく、ツールです。