Одно поле — один живой код
Вставьте секретный ключ или полную ссылку otpauth:// — и онлайн-код 2FA тут же начнёт обратный отсчёт: без настройки, без форм, без ритуала «добавить аккаунт».
Таймер
Недавние ключи
Приватность по умолчанию. Коды генерируются в вашем браузере с помощью Web Crypto. Ключи сохраняются в незашифрованном виде в локальном хранилище этого устройства — они его никогда не покидают (серверов попросту нет), но любой, кто откроет этот профиль браузера, сможет их прочитать.
100% в вашем браузере · zero-knowledge
Генератор живых кодов 2FA
Вставьте секретный ключ и мгновенно получите 6-значный код. Альтернатива Google Authenticator, Authy и Microsoft Authenticator: быстрая, бесплатная и приватная — на случай, когда телефон потерян, сломан или просто не под рукой.
Без приложения. Без аккаунта. Ни один ключ не попадает на сервер.
otp.rfc-6238.js
// Весь инструмент целиком. Без единого сервера.
const step = Math.floor(Date.now() / 1000 / 30);
const key = await crypto.subtle.importKey(
'raw', base32(secret), { name: 'HMAC', hash: 'SHA-1' });
const mac = new Uint8Array(
await crypto.subtle.sign('HMAC', key, u64(step)));
const o = mac[19] & 15;
const code = ((mac[o] & 0x7f) << 24 | mac[o+1] << 16
| mac[o+2] << 8 | mac[o+3]) % 1e6;
code.toString().padStart(6, '0'); // ← ваш код 2FA
0
ключей хранится на нашей стороне — серверов, где их можно хранить, просто нет
100%
вычислений выполняется на вашем устройстве — средствами Web Crypto
6238
номер реализованного нами стандарта RFC — совместим с любым приложением-аутентификатором
Как это работает
Три шага до вашего живого кода 2FA — без телефона.
Двухэтапная аутентификация добавляет второй замок к вашим аккаунтам: код, который меняется каждые 30 секунд и вычисляется из общего секретного ключа плюс текущего времени (TOTP — RFC 6238). Эта страница и есть тот второй замок. Ваш браузер выполняет ровно тот же расчёт, что и сайт, на который вы входите.
Поскольку секрет — единственное, что по-настоящему важно, вы можете хранить его в зашифрованном менеджере паролей и генерировать коды где угодно — на ноутбуке, во втором профиле браузера, на «походном» компьютере, даже офлайн.
Впервые сталкиваетесь с темой? Читайте простое объяснение по-человечески: Что такое 2FA и как работает TOTP
Попробовать сейчас- 01
Получите секретный ключ
Когда сервис предлагает «двухфакторную аутентификацию → приложение-аутентификатор», выберите «не удаётся отсканировать? показать ключ настройки». Вы получите строку Base32 вида JBSWY3DPEHPK3PXP — или полную ссылку otpauth://. Оба варианта работают здесь.
- 02
Вставьте, перетащите или отсканируйте
Вставьте ключ или URI в генератор, перетащите снимок QR-кода на страницу или отсканируйте его камерой. Всё декодируется на вашем устройстве — ничто не загружается в сеть.
- 03
Скопируйте живой код
Новый токен появится через секунды, синхронизированный с часами вашего устройства. Нажмите «копировать» и завершите вход. Код автоматически обновляется каждые 30 секунд.
Возможности
Всё, что умеет приложение 2FA — и многое из этого лучше
Вставьте снимок — получите ключ
Ctrl+V поверх изображения QR-кода, перетащите файл картинки или отсканируйте веб-камерой. Три способа импорта — и ни одного способа, которым ваш ключ мог бы утечь.
Все параметры определяются сами
Голая строка ключа использует стандартные значения; полный URI otpauth:// учитывает каждый содержащийся в нём параметр — 6/7/8 знаков, период 15/30/60 с, SHA-1/256/512 и даже HOTP со счётчиком.
Переживает перезагрузку — и позволяет менять ключи
Откройте страницу снова — ваш последний ключ уже на месте. Список недавних ключей позволяет переключаться между ними одним нажатием — восстанавливается только из локального хранилища этого устройства, никогда с сервера.
Ничего не нужно устанавливать и регистрировать
Без мобильного приложения, без аккаунта, без платы за синхронизацию, без отслеживания. Если вы можете открыть браузер, вы можете сгенерировать свой код двухэтапной проверки.
Работает офлайн и устанавливается как приложение
Работает, пока вкладка отрезана от мира — в буквальном смысле. А как PWA устанавливается в ваш док или на главный экран как обычное приложение.
Совместимость
Работает везде, где работает приложение-аутентификатор
Любой сервис с опцией «использовать приложение-аутентификатор» генерирует тот же стандартный TOTP-код — в том числе перечисленные ниже:
- Discord
- GitHub
- Steam
- Binance
- X / Twitter
- AWS
- Coinbase
- Kraken
- Twitch
- Microsoft
- Proton Mail
Настраиваете один из этих сервисов? Читайте пошаговое руководство: GoogleMicrosoftDiscordGitHubXAWSCoinbaseKrakenSteamBinance
Об этом инструменте 2FA
2FA COUNTER — бесплатный 2FA-аутентификатор, который живёт в вашем браузере
Сюда приходят с одним и тем же желанием: получить код двухэтапной проверки, который работает прямо сейчас и не требует ничего устанавливать. Именно это и есть 2FA COUNTER. Это бесплатный 2FA-аутентификатор и генератор кодов 2FA в браузере: вставьте секретный ключ, перетащите снимок QR-кода или отсканируйте его камерой — и соответствующий живой код появится через секунды и будет сам обновляться каждые 30 секунд, как приложение на телефоне, только устанавливать ничего не нужно.
Что такое 2FA? Ответ за 60 секунд
2FA — двухфакторная аутентификация — это второй замок вашего аккаунта: нечто, чем вы владеете, в дополнение к тому, что вы знаете. При её включении сервис выдаёт вам одноразовый общий секретный ключ. Ваш аутентификатор вычисляет из этого секрета плюс текущего времени 6-значный код — стандарт TOTP, RFC 6238, — а сайт, на который вы входите, выполняет точно такой же расчёт и сравнивает результаты. Поскольку код обновляется каждые 30 секунд, один украденный пароль больше ничего не открывает. Если нужен полный криптографический разбор, прочитайте простое объяснение Что такое 2FA? Как работают двухэтапная аутентификация и TOTP, а затем вернитесь и сгенерируйте свой первый код.
Один ключ, три шага — и готово
Каждый раз, когда вам нужен код для входа, достаточно трёх действий. Сначала включите двухэтапную проверку на сайте и выберите «приложение-аутентификатор»; если не можете отсканировать QR-код, покажите ключ настройки — строку Base32 или полную ссылку otpauth://. Затем вставьте этот ключ или URI в генератор в начале этой страницы, перетащите снимок QR-кода или используйте камеру. Наконец, скопируйте свежесгенерированный код и завершите вход. Генератор учитывает все полученные параметры otpauth: коды из 6, 7 или 8 знаков, периоды 15/30/60 секунд, хеши SHA-1, SHA-256 или SHA-512 и HOTP со счётчиком. Ничего не загружается и не записывается — код вычисляется на вашем устройстве, и вы можете сами убедиться в этом во вкладке «Сеть» браузера.
2FA-аутентификатор, которому не нужен ваш телефон
Большинство попадает сюда, потому что телефон ушёл — продан, сломан, утоплен, стёрт или сел в самый неподходящий момент, — а Google Authenticator, Authy и Microsoft Authenticator живут только на этом устройстве. Браузерный 2FA-инструмент устраняет эту единственную точку отказа: секрет лежит в сейфе вашего менеджера паролей, а онлайн-код 2FA можно заново получить на любом доверенном компьютере. Это удобно и для работы за столом — вход в GitHub или консоль AWS со вторым монитором, работа с несколькими аккаунтами через список недавних ключей, использование машины, где телефоны запрещены. Установите инструмент как приложение — и генератор продолжит работать при полностью выключенной сети. Это та же математика RFC 6238, которую принимает любой сервис, просто она больше не привязана к карману.
Один инструмент для крипты, облака, игр и соцсетей
Что бы вы ни защищали, стандартный TOTP — общий язык для всех. Торговля на Binance, Coinbase или Kraken, защита аккаунтов AWS, Microsoft или Google, сохранность Steam, Discord, X или вашей почты — любой сервис с опцией «использовать приложение-аутентификатор» говорит на том же протоколе, поэтому одного инструмента хватает на всё. Когда сайт не принимает ваш код, почти всегда виноваты часы устройства, а не инструмент: включите автоматическую синхронизацию системного времени — и коды снова сойдутся. Для самых популярных сервисов мы публикуем пошаговые руководства по настройке, которые дополняют этот генератор — от включения функции до вставки финального кода.
Ничего не отправляется, ничего не хранится, ничего не стоит
Это один из немногих 2FA-инструментов, которым нечего скрывать, — потому что скрывать нечего. Здесь нет серверов, куда можно было бы отправлять ключи, нет аккаунтов, нет премиум-тарифов, нет телеметрии. Каждый код вычисляется локально с помощью Web Crypto API; ваш последний ключ и краткий список недавних ключей живут только в хранилище вашего браузера и удаляются одним нажатием «Очистить всё». Храните главную копию каждого секрета в зашифрованном менеджере паролей, сохраняйте коды восстановления каждого сервиса и относитесь к любой настойчивой просьбе назвать свежий код как к красному флагу, которым она и является.
Готово, когда готовы вы: генератор находится в начале страницы. Вставьте ключ и посмотрите, как живой код ведёт обратный отсчёт — бесплатно, приватно, работает офлайн, навсегда.
Частые вопросы
Вопросы — с прямыми ответами
Всё ещё сомневаетесь? Всё, что делает этот инструмент, видно во вкладке «Сеть» инструментов разработчика вашего браузера: ноль запросов передают ваш ключ.
Как получить 2FA?
2FA включается в настройках того аккаунта, который вы хотите защитить: откройте настройки, перейдите в раздел «Безопасность» или «Вход и безопасность» и найдите пункт «Двухфакторная аутентификация» или «Двухэтапная проверка». Выберите вариант с приложением-аутентификатором, отсканируйте QR-код — или нажмите «не удаётся отсканировать?», чтобы показать ключ настройки (строку Base32 или URI otpauth://) — и вставьте его в генератор кодов 2FA в начале этой страницы. Введите появившийся живой код для подтверждения настройки и сохраните коды восстановления, которые покажет сервис.
Как включить 2FA?
Четыре шага, около двух минут: 1) Откройте настройки аккаунта или безопасности и выберите «Двухфакторная аутентификация». 2) Выберите «Использовать приложение-аутентификатор» (избегайте SMS, если есть вариант получше). 3) Отсканируйте QR-код своим аутентификатором — или покажите и сохраните ключ настройки. 4) Введите живой код для завершения и скачайте или распечатайте резервные коды. Мы публикуем руководства по сервисам для Google, GitHub, Discord, Binance и других.
Как работает 2FA?
После пароля сервис запрашивает второе подтверждение личности. При стандартном методе TOTP (RFC 6238) ваш аутентификатор вычисляет 6-значный код на основе общего секретного ключа и текущего времени, а сервер выполняет точно такой же расчёт и сравнивает результаты. Код двухэтапной проверки выводится заново каждые 30 секунд и перестаёт действовать сразу после истечения срока — так один только украденный пароль уже не откроет ваш аккаунт.
Для чего нужна 2FA?
Она защищает любой вход, который кто-то захочет перехватить: почту и облачные сервисы (Google, Microsoft, Apple), онлайн-банкинг и брокеров, криптобиржи (Binance, Coinbase, Kraken), платформы для разработчиков (GitHub, AWS), игры (Steam, Discord, Twitch) и соцсети (X, Instagram). Компании используют её для VPN, почты и консолей администрирования. Везде, где есть опция «приложение-аутентификатор», проходит путь 2FA.
Безопасна ли 2FA на 100%?
Нет — как и любой инструмент безопасности; честные руководства говорят об этом прямо. 2FA сводит на нет атаки с украденными паролями, но свежесгенерированный код, введённый на поддельном сайте, пока он действует, всё же может попасть к фишерам, вредоносное ПО, уже присутствующее на вашем устройстве, способно перехватить саму сессию, а SMS-коды уступают атакам с подменой SIM-карты. При всех этих оговорках аккаунт с 2FA взломать несравнимо труднее, чем без неё.
Является ли 2FA обязательной?
Ни одно государство не делает её обязательной, но платформы вводят её всё активнее: GitHub требует её от разработчиков с 2023 года, банки и криптобиржи включают её принудительно, а работодатели часто требуют её для рабочих доступов. В остальных случаях она необязательна, но крайне рекомендуется. Относитесь к ней как к обязательной на самом ценном аккаунте — почте: кто контролирует ваш почтовый ящик, может восстановить доступ ко всем остальным.
Почему 2FA так важна?
Потому что пароли проваливаются всегда одинаково. Миллиарды реальных паролей уже опубликованы после утечек, и злоумышленники без устали подставляют их снова и снова на одном сайте за другим (credential stuffing). По данным Microsoft, 2FA блокирует более 99,9 % автоматических попыток захвата аккаунтов — это самая дешёвая мера, которая защищает вашу почту, банк, игры и криптовалюту от угроз, которые действительно происходят.
Насколько надёжна 2FA?
Это полностью зависит от второго фактора. SMS-коды — самые слабые: при подмене SIM-карты злоумышленник крадёт ваш номер и получает коды сам. TOTP-коды аутентификатора — те, что обновляются каждые 30 секунд, — вычислительно надёжны: ничего не передаётся по сети, офлайн-злоумышленник не сможет их вычислить, и каждый код истекает за секунды. Физические ключи безопасности и passkey — самый сильный вариант: они устойчивы к фишингу и криптографически привязаны к настоящему домену.
Почему теперь все используют 2FA?
Потому что эпоха «просто пароля» рухнула. Масштабные утечки обнародовали миллиарды учётных данных, автоматический credential stuffing сделал захват аккаунтов почти бесплатным, а платформам надоело расплачиваться за последствия. Подключились и регуляторы: NIST исключил SMS как способ аутентификации из своих стандартов США, а европейский PSD2 требует усиленной аутентификации клиента. Когда несколько гигантов сделали 2FA нормой, все остальные сервисы подтянулись.
Нужен ли телефон для этого 2FA-аутентификатора?
Нет. Это 2FA-инструмент, работающий в браузере: он запускается на любом ноутбуке, планшете или настольном компьютере с современным браузером, онлайн или полностью офлайн после установки как приложение. Он заменяет мобильное приложение, когда телефон потерян, продан, сломан, разряжен — или просто запрещён там, где вы работаете.
Безопасно ли пользоваться 2FA COUNTER?
Да. Все вычисления выполняются локально в вашем браузере с помощью Web Crypto API. Ваши секретные ключи никогда не отправляются — и не раскрываются — ни одному серверу. Можно открыть страницу, отключить интернет — и генератор продолжит работать.
Можно ли пользоваться без интернета?
Конечно. Установите 2FA COUNTER как приложение («Добавить на главный экран» / «Установить») — и оно будет работать полностью офлайн, как обычный аутентификатор. Коды вычисляются из вашего ключа и часов устройства — сеть не нужна.
Почему код 2FA не принимается?
Почти всегда дело в расхождении часов. TOTP-коды зависят от времени: если часы устройства расходятся хотя бы на полминуты, код недействителен. Убедитесь, что системное время синхронизируется автоматически (в Windows — «Синхронизировать сейчас» в настройках даты и времени; в macOS — «Установить дату и время автоматически») и попробуйте снова. Генератор считает по времени, которое сообщает ваше устройство, — собственных часов, которые нужно поправить, у него нет.
Чем это отличается от Google Authenticator или Authy?
Это мобильные приложения, а это — аутентификатор в браузере. Используется ровно тот же алгоритм TOTP из RFC 6238, и он работает с любым сервисом, принимающим стандартное приложение-аутентификатор, — но доступ не потеряется, если телефон сломается, будет продан или разрядится.
Где хранятся мои ключи?
Только в вашем браузере. Последний ключ и краткий список «недавних ключей» (до 8) сохраняются в локальном хранилище этого устройства, чтобы генератор переживал перезагрузку страницы и вы могли переключаться между ключами одним нажатием, — и никогда на наших серверах, потому что их просто нет. Ключи хранятся как обычный текст: любой, кто откроет этот профиль браузера, сможет их прочитать, поэтому обращайтесь с профилем как с сейфом менеджера паролей. Кнопка «Очистить всё» над списком (она требует подтверждения), очистка поля или удаление данных браузера стирают их навсегда; храните оригинал секрета в менеджере паролей как главную копию.
Работает ли это с HOTP, 8-значными кодами или сервисами SHA-256?
Да. Вставьте полный URI otpauth://, который выдаёт сервис, — и все содержащиеся в нём параметры будут учтены автоматически: 6, 7 или 8 знаков, периоды 15/30/60 с, хеши SHA-1/SHA-256/SHA-512 и HOTP со счётчиком. Голая строка Base32 использует стандартные значения по умолчанию (6 знаков, 30 с, SHA-1) — их применяет подавляющее большинство сервисов.
Это действительно бесплатно?
Да — без аккаунтов, без премиум-тарифов, без входа. Это инструмент, а не сервис.
Хватит искать свой телефон
Храните секреты в менеджере паролей, генерируйте коды двухэтапной проверки прямо здесь и оставайтесь на связи с любого устройства — даже без доступа к интернету.
Сгенерировать код 2FA сейчас