如何取得你的 2FA 驗證碼

開始之前需要什麼

首先是帳戶存取——顯然，你應該已經登入了想保護的服務。除此之外只有兩件事重要。其一， 服務必須提供驗證器應用程式作為第二重要素；這涵蓋了 Google、 Microsoft、GitHub、Discord、Steam、AWS、Coinbase、Kraken、Binance、X，以及大多數 銀行和交易所。其二，你需要一個執行驗證器的地方：手機應用程式，或者——這正是 本站存在的意義——這個瀏覽器工具，不必安裝任何東西，就能算出完全相同的驗證碼。

順帶說說名稱：這個第二重要素在不同服務裡叫「兩步驟驗證」、「2FA」、「兩階段驗證」、 「TOTP」或「驗證器應用程式」。標籤背後的東西完全一樣——基於時間、由共享密鑰推導出的 一次性驗證碼。如果你想了解機制本身而不是用法，讀什麼是 2FA？TOTP 如何運作。

步驟 1：開啟 2FA 並顯示設定密鑰

開啟帳戶的安全性設定，找到兩步驟驗證相關的部分。選擇驗證器應用程式選項。服務 會顯示一個 QR 碼讓你用手機掃描——而那個畫面幾乎總會提供替代路徑：寫著「無法掃描？」、「手動輸入代碼」或「設定密鑰」的連結。點開 它，真正的秘密才會現身：一串形如 JBSWY3DPEHPK3PXP 的 Base32 字串，偶爾 還裹在完整的 otpauth:// URI 裡，額外攜帶帳戶標籤、位數、重新整理週期和 雜湊演算法。

這把密鑰就是憑證本身——它是第二重要素中你密碼的「可攜帶等效物」。 把這一屏當成恢復畫面來對待：沒有任何正派的人會請你把設定密鑰貼進電子郵件或聊天軟體。 複製它，完成 2FA 的開啟（多數服務會要求一組有效驗證碼來確認），再把原件放進密碼管理 員之類的加密地方。

步驟 2：把密鑰貼進產生器

在首頁最上方的產生器裡，貼上你剛複製的內容——裸 Base32 字串 或完整的 otpauth:// 連結都可以。幾秒內就會出現一組即時的 6 位驗證碼， 並每 30 秒重新整理。你也可以從圖片匯入密鑰：用 Ctrl+V 把 QR 碼截圖直接貼上頁面， 或拖入一個圖片檔，或用相機掃描 QR 碼——解碼全部在本地完成，沒有任何東西被上傳。 如果服務發行的是非標準設定（8 位驗證碼、15/30/60 秒週期、SHA-256，或基於計數器的 HOTP），完整的 otpauth:// URI 會帶上全部參數，產生器會自動遵循。

步驟 3：複製即時驗證碼，完成登入

在驗證碼輪換之前，把目前的值輸入驗證提示框。每組驗證碼只在一個 30 秒窗口內有效 （自訂週期的服務會更短或更長），所以如果倒數已經逼近最後幾秒，寧可等下一組碼， 也別趕著輸一組快過期的。從現在起，你在這個服務的每次登入都重複同一循環：打開 產生器 → 複製驗證碼 → 貼進輸入框。上一把密鑰只會記在你自己 瀏覽器的 localStorage 裡，所以下次到訪只差一擊。

熱門服務的設定密鑰藏在哪

每個服務把驗證器選項埋在略有不同的位置，所以我們發布了與這個產生器搭配的逐步設定指南——每篇的終點都是把密鑰貼到這裡、完成設定。 被問最多的是：Google、 Microsoft、Discord、 GitHub、Steam、 AWS、Coinbase、 Kraken 和 Binance。

疑難排解：不好用時該怎麼辦

驗證碼被拒絕。實務上幾乎總是因為執行產生器的裝置時鐘有偏差。TOTP 要把你的驗證碼與從服務端時鐘推導出的驗證碼相比對；如果系統時間偏差哪怕半 分鐘，兩者就會岔開。讓作業系統自動同步時間（Windows：日期和時間設定裡的「立即同步」； macOS：「自動設定日期與時間」），再用下一組驗證碼試試。

QR 碼掃不出來。改用「無法掃描？」連結顯示設定密鑰——文字 密鑰永遠比拍攝螢幕可靠。如果你只有截圖，把它裁切到只剩 QR 碼本身；壓縮嚴重或拍攝角度 歪斜的圖片經常解碼失敗。

放密鑰的那支手機丟了。這正是這個工具被造出來的原因：只要密鑰原件 還保存在你的密碼管理員裡——或者手機還能用的時候你已經把它貼到了這裡——你就能在 任何一台電腦上重新產生驗證碼。不需要手機，不需要恢復備份，不需要開工單。

值得養成的兩個習慣

開啟 2FA 時就把服務的恢復代碼離線保存；一旦失去存放密鑰的裝置，它們 就是你的救命繩。另外，別把即時的 2FA 驗證碼當成可以分享的東西：沒有任何客服、銀行、 交易所會主動要你當下的驗證碼。一組驗證碼只在它自己的 30 秒窗口裡、在你自己選擇的 登入頁面上才有用。