一個輸入框，一組即時驗證碼
貼上密鑰或整串 otpauth:// 連結，對應的驗證碼立即開始倒數——無需設定，無需表單。
倒數計時
最近的金鑰
以隱私為本的設計。驗證碼透過 Web Crypto 在你的瀏覽器中產生。金鑰以未加密的形式快取在本機儲存空間——它們不會離開裝置（沒有任何伺服器），但任何能開啟此瀏覽器個人設定檔的人都能讀取。
100% 本機執行 · 零知識設計
2FA 驗證碼線上產生
貼上密鑰，立即取得 6 位即時驗證碼。快速、免費、注重隱私，可取代 Google Authenticator 與 Microsoft Authenticator——專治手機遺失、損壞或沒電的時刻。
無需應用程式。無需帳戶。密鑰絕不離開你的裝置。
otp.rfc-6238.js
// The whole tool. No servers involved.
const step = Math.floor(Date.now() / 1000 / 30);
const key = await crypto.subtle.importKey(
'raw', base32(secret), { name: 'HMAC', hash: 'SHA-1' });
const mac = new Uint8Array(
await crypto.subtle.sign('HMAC', key, u64(step)));
const o = mac[19] & 15;
const code = ((mac[o] & 0x7f) << 24 | mac[o+1] << 16
| mac[o+2] << 8 | mac[o+3]) % 1e6;
code.toString().padStart(6, '0'); // ← your 2FA code
0
個密鑰存放在我們這邊——根本沒有可以存放的伺服器
100%
的運算透過 Web Crypto 在你的裝置上完成
6238
號 RFC 標準——與所有驗證器應用程式相容
運作方式
三步驟取得即時 2FA 驗證碼——不需要手機。
兩步驟驗證為帳戶加上第二道鎖：一組每 30 秒更換一次、由共享密鑰與當前時間共同產生的驗證碼 （即 TOTP 標準，RFC 6238）。本頁就是那第二道鎖。你的瀏覽器執行的，正是登入網站所執行的同一道算式。
因為真正重要的只有那把密鑰，你完全可以把它放進加密的密碼管理員，在任何地方重新產生驗證碼—— 筆電、第二個瀏覽器設定檔、外出用的電腦，離線也行。
想了解原理？閱讀淺顯解說： 什麼是 2FA？TOTP 如何運作
立即試用- 01
取得你的密鑰
當服務顯示「兩步驟驗證 → 驗證器應用程式」時，選擇「無法掃描？顯示設定密鑰」。你會得到類似 JBSWY3DPEHPK3PXP 的 Base32 字串，或完整的 otpauth:// 連結——兩者都可以使用。
- 02
貼上、拖放或掃描
把密鑰或連結貼到產生器，拖入 QR 碼截圖，或用相機掃描。一切都在你的裝置上解碼——沒有任何東西被上傳。
- 03
複製即時驗證碼
幾秒鐘內就會出現新的驗證碼，與裝置時鐘同步。點擊複製並完成登入。驗證碼每 30 秒自動重新整理。
功能
一個 2FA 應用程式該有的它都有——而且不少地方做得更好
貼上截圖，取得密鑰
Ctrl+V 貼入 QR 碼截圖、拖入圖片檔，或用網路攝影機掃描。三種匯入方式，密鑰沒有任何洩漏途徑。
參數全支援，自動辨識
單獨密鑰使用標準預設值；完整 otpauth:// 連結會遵循其所有參數：6/7/8 位數字、15/30/60 秒週期、SHA-1/256/512，甚至支援以計數器為基礎的 HOTP。
重新整理不遺失，切換一鍵完成
重新開啟頁面，上次的密鑰已經就位。最近密鑰清單讓你一鍵切換——僅從本裝置的 localStorage 還原。
無需安裝，無需註冊
不用手機應用程式，不用帳戶，不收費。能開啟瀏覽器，就能產生驗證碼。
離線可用，可安裝
完全斷網也能執行。以 PWA 形式安裝後，它能像原生應用程式一樣裝進程式塢或主畫面。
關於這個工具
安家在你瀏覽器裡的 2FA 驗證器
大家來到這裡都是為了同一件事：立刻拿到一組能用的登入驗證碼，什麼也不必安裝。這正是 2FA COUNTER——一個免費、基於瀏覽器的 2FA 驗證器與驗證碼產生器：貼上密鑰、拖入 QR 碼截圖或用相機掃描，對應的即時驗證碼幾秒內出現，每 30 秒自動重新整理，和手機上的應用程式完全一樣——只是什麼都不用裝。
什麼是 2FA？60 秒讀懂
2FA——兩步驟驗證——是帳戶上的第二道鎖：在「你知道的」之外，再加上「你擁有的」。開啟 2FA 後，服務會給你一組一次性共享密鑰。驗證器用這個密鑰加上當前時間算出 6 位驗證碼—— TOTP 標準，RFC 6238——而登入網站執行完全相同的算式並比對結果。因為驗證碼每 30 秒輪替， 單獨外洩的密碼再也無法開啟任何東西。想看完整的密碼學解說？閱讀文章 什麼是 2FA？，然後回來產生你的第一組驗證碼。
三步驟拿到驗證碼
每次登入需要驗證碼時，三步驟就夠。第一步，在網站上開啟兩步驟驗證並選擇「驗證器應用程式」； 掃不了 QR 碼時，點擊顯示設定密鑰——一串 Base32 字元或完整的 otpauth:// 連結。 第二步，把密鑰或連結貼到頁面頂部的產生器裡，拖入 QR 碼截圖，或用相機掃描。 第三步，複製新的驗證碼並完成登入。產生器會遵循 otpauth 連結攜帶的每個參數：6、7 或 8 位數字，15/30/60 秒週期，SHA-1、SHA-256 或 SHA-512 雜湊，以及基於計數器的 HOTP。 什麼都不上傳，什麼都不記錄——驗證碼在你的裝置上運算，你可以在瀏覽器的 Network 分頁裡親自驗證。
從不需要你手機的驗證器
大多數人來到這裡，是因為手機離開了他們——賣了、摔了、進水了、被清除了，或者出門那天剛好沒電—— 而 Google Authenticator、Authy 和 Microsoft Authenticator 只裝在那支手機上。瀏覽器版的 2FA 工具消除了這個唯一的單點故障：密鑰放在密碼管理員的保管庫，驗證碼可以在任何你信任的電腦上重新產生。 它還能以 PWA 形式安裝，網路完全中斷時產生器照樣執行。
一個工具，涵蓋各種服務
標準的 TOTP 是共通語言。在 Binance、Coinbase 或 Kraken 交易、保護 AWS、Microsoft 或 Google 帳戶、守住 Steam、Discord、X 或信箱——只要服務提供「使用驗證器應用程式」選項， 講的都是同一種協定，一個工具全部涵蓋。驗證碼被拒絕時，原因幾乎總是裝置時鐘而不是工具。 我們也準備了 逐步取得 2FA 驗證碼的指南，以及按服務分類的 開啟 2FA 指南。
不上傳、不儲存、不收費
沒有可以接收密鑰的伺服器，沒有帳戶，沒有付費版，沒有遙測。每組驗證碼都用 Web Crypto API 在本機計算；上次的密鑰與最近密鑰清單只保存在你自己的瀏覽器儲存空間，點一下「全部清除」即可徹底清除。 每把密鑰的原始副本請始終保留在加密的密碼管理員裡；對任何催促你提供新驗證碼的要求保持警覺—— 那是詐騙的紅旗。
產生器就在頁面頂端。貼上密鑰，看即時驗證碼倒數——免費、私密、可離線，永遠如此。
常見問題
問題，直白作答
還有疑問？這個工具做的每一件事都會顯示在你瀏覽器的 DevTools Network 分頁裡：零請求攜帶你的密鑰。
如何取得帳戶的 2FA 驗證碼？
在要保護的服務中開啟兩步驟驗證，並選擇「驗證器應用程式」選項。如果顯示 QR 碼，請尋找「無法掃描？」連結以顯示設定密鑰（Base32 字串或 otpauth:// 連結）。把密鑰貼到上方產生器，2FA 驗證碼立即出現，並每 30 秒自動重新整理。
如何開啟兩步驟驗證（2FA）？
四個步驟，約兩分鐘：1) 開啟帳戶或安全性設定，選擇「兩步驟驗證」。2) 選擇「使用驗證器應用程式」（若另有更好的選項，就別用簡訊）。3) 用驗證器掃描 QR 碼——或者改為顯示並保存設定密鑰。4) 輸入目前的驗證碼完成設定，然後下載或列印備用代碼。我們也提供 Google、GitHub、Discord、Binance 等服務的逐步指南。
2FA 是如何運作的？
在密碼之後，服務會要求第二重身分證明。採用標準 TOTP 方法（RFC 6238）時，你的驗證器以「共享密鑰＋當前時間」算出 6 位驗證碼，登入伺服器獨立完成同樣的計算並比對結果。驗證碼每 30 秒重新產生，逾期即作廢——就算密碼外洩，別人也無法憑它進入你的帳戶。
2FA 用在哪些場合？
它保護任何別人想登進去的東西：電子郵件與雲端服務（Google、Microsoft、Apple）、銀行與證券帳戶、加密貨幣交易所（Binance、Coinbase、Kraken）、開發者平台（GitHub、AWS）、遊戲（Steam、Discord、Twitch）、社群媒體（X、Instagram）。企業也用它保護 VPN、郵件和管理後台。只要網站提供「驗證器應用程式」選項，那就是 2FA 的通道。
2FA 是 100% 安全的嗎？
不是——沒有任何安全措施能到 100%，誠實的指南都會這麼說。2FA 能擋住「密碼已被盜」的攻擊，但在 30 秒效期內把新驗證碼輸進假網站，照樣會被釣魚；已經潛伏在你裝置上的惡意軟體也能挾持登入工作階段；簡訊驗證碼還可能遭遇 SIM 卡劫持。即便如此，開啟 2FA 的帳戶仍比沒開啟的難以攻破得多。
2FA 是強制的嗎？
沒有法律強制所有人使用，但平台陸續強制：GitHub 自 2023 年起要求程式碼貢獻者開啟 2FA，銀行和交易所大多預設開啟，雇主也常要求工作帳戶開啟。其餘情況它是可選項，卻強烈建議使用。無論如何，請把你最重要的帳號——電子郵件——當作「必須開啟 2FA」來對待：能控制你信箱的人，就能重設其他一切。
為什麼 2FA 這麼重要？
因為密碼總以同樣的方式失守。數十億組真實密碼已隨資料外洩流出，攻擊者日夜不停拿它們去試其他網站（撞庫攻擊）。微軟的數據顯示，2FA 能擋下超過 99.9% 的自動化帳戶接管攻擊——它是成本最低、卻能在真實威脅發生時保護你的信箱、銀行、遊戲和加密資產的升級。
2FA 的安全強度有多高？
完全取決於第二重要素是什麼。簡訊驗證碼最弱——SIM 卡劫持能讓攻擊者收到你的驗證碼。TOTP 驗證碼（那種 30 秒一換的）在運算上很穩固：不傳送任何資料、離線攻擊者無法推導、幾秒內即逾期。硬體安全金鑰和通行金鑰（passkey）最強——它們能防釣魚，並與真實網域綁定。
為什麼現在到處都在用 2FA？
因為「只用密碼」的時代崩塌了。大規模資料外洩暴露了數十億組憑證，自動化的撞庫攻擊讓盜號幾乎零成本，平台也厭倦了收拾善後。監管隨之加碼——美國標準中 NIST 已淘汰簡訊認證，歐盟的 PSD2 要求強客戶認證。幾個巨頭立下規矩之後，其他服務紛紛跟進。
使用這個工具需要手機嗎？
不需要。這是基於瀏覽器的 2FA 工具：在任何裝有現代瀏覽器的電腦、筆電或平板上都能執行，安裝後即使沒有網路也能用。手機遺失、賣掉、損壞或沒電時，它可以取代手機上的應用程式。
這個驗證器安全嗎？
安全。所有運算都透過 Web Crypto API 在你的瀏覽器裡完成。你的密鑰不會傳送到任何伺服器，任何伺服器也看不到它。頁面載入後即使完全離線，產生器依然照常運作。
離線時能用嗎？
完全可以。把 2FA COUNTER 安裝成應用程式（「加入主畫面／安裝」），它就能像原生驗證器一樣全程離線運作。驗證碼由「密鑰＋裝置時鐘」算出——完全不需要網路。
為什麼我的 2FA 驗證碼被拒絕？
幾乎都是時鐘偏差。TOTP 驗證碼基於時間，裝置時鐘即使偏差半分鐘，驗證碼就會失效。請將系統時間設定為自動同步（如 Windows「立即同步」、macOS「自動設定日期與時間」）後再試一次。產生器依裝置回報的時間計算，無法替你修正時鐘。
它和 Google Authenticator 或 Authy 有什麼區別？
它們是手機應用程式；這是瀏覽器驗證器。它採用完全相同的 RFC 6238 TOTP 演算法，相容於所有接受標準驗證器應用程式的服務——但你永遠不會因為手機摔了、賣掉或沒電而失去產生驗證碼的管道。
我的密鑰保存在哪裡？
只保存在你自己的瀏覽器裡。最近一次輸入的密鑰和「最近使用的密鑰」清單（最多 8 筆）儲存在本裝置的 localStorage，重新整理頁面後仍在，也絕不會上傳到伺服器。密鑰以純文字保存：任何人只要能開啟這個瀏覽器設定檔就能讀取，請像對待密碼管理員保管庫一樣對待它。一鍵「全部清除」即可全部清除；原始密鑰請保存在密碼管理員中。
它支援 HOTP、8 位驗證碼或 SHA-256 嗎？
支援。貼上服務提供的完整 otpauth:// 連結，它攜帶的每個參數都會被自動遵守：6、7 或 8 位數字，15/30/60 秒週期，SHA-1/SHA-256/SHA-512 雜湊，甚至基於計數器的 HOTP。單獨的 Base32 密鑰則採用標準預設值（6 位、30 秒、SHA-1）——這正是絕大多數服務使用的設定。
這個工具真的免費嗎？
免費——沒有帳戶，沒有付費版，無需登入。它是一個工具，不是一項服務。