مولّد رموز TOTP مجاني يعمل دون إنترنت — رموز التحقق بخطوتين بلا تطبيق

في كل مرة تسجّل فيها دخولك إلى حساب محمي بالتحقق بخطوتين، تكتب رمزاً من ستة أرقام يتغيّر كل 30 ثانية. هذا الرمز يأتي من مولّد TOTP — وعادةً ما يكون تطبيقاً على هاتفك. لكن تطبيقات الهاتف ليست الخيار الوحيد؛ يمكنك أيضاً توليد رموز التحقق بخطوتين أونلاين داخل متصفحك بالكامل، دون أن يغادر المفتاح السري جهازك أبداً.

يحسب مولّد TOTP من أدواتكرموز كلمة المرور الوقتية القياسية وفق معيار RFC 6238 محلياً، باستخدام محرّك WebCrypto المدمج في متصفحك. يمكنك متابعة عدّة حسابات في آن واحد، وإضافتها عبر المفتاح السري، أو عبر رابط otpauth://، أو برفع لقطة شاشة لرمز QR. بلا تثبيت، وبلا حساب، وبلا أي اتصال بخادم.

ما هو TOTP فعلياً

TOTP اختصار لـ Time-based One-Time Password، أي كلمة مرور لمرة واحدة تعتمد على الوقت. حين تُفعّل التحقق بخطوتين على خدمة ما، تمنحك تلك الخدمة مفتاحاً سرياً — عادةً على شكل رمز QR — ويحتفظ به الطرفان: الخدمة تخزّنه على خادمها، وأنت تخزّنه في تطبيق المصادقة. من تلك اللحظة، الخوارزمية بسيطة: تُدمج المفتاح السري مع الوقت الحالي بعد تقريبه إلى نافذة مدّتها 30 ثانية، ثم تمرّر الناتج عبر دالة تجزئة تشفيرية. النتيجة رمز من 6 أرقام. ولأن الطرفين يعرفان المفتاح ويعرفان الوقت، يصلان دوماً إلى الرمز نفسه دون الحاجة لأي تواصل عبر الشبكة — ولهذا تعمل رموز التحقق بخطوتين حتى لو كان هاتفك في وضع الطيران.

لماذا مولّد يعمل داخل المتصفح

تطبيق المصادقة على الهاتف خيار جيد افتراضياً، لكنه ليس دائماً في متناول يدك. ربما تكون على جهاز مكتبي ولا تريد مدّ يدك لهاتفك كل مرة تدخل فيها إلى لوحة تحكّم. ربما تختبر تكامل التحقق بخطوتين في تطبيق تبنيه ولا تريد تجهيز جهاز فعلي فقط لتوليد الرموز. وربما لا تريد ببساطة تثبيت تطبيق إضافي فقط لرؤية رقم يتغيّر. مولّد يعمل داخل المتصفح يحلّ كل هذا: افتح التبويب، شاهد الرمز، أغلق التبويب.

وجانب الخصوصية لا يقلّ أهمية عن الراحة. المفتاح السري الذي يُنتج رموز التحقق بخطوتين لديك هو فعلياً كلمة مرور — أيّ شخص يملكه يستطيع توليد رموزك والدخول إلى حسابك. ولأن هذه الأداة تنفّذ خوارزمية RFC 6238 عبر WebCrypto مباشرةً داخل متصفحك، فإن المفتاح السري لا يُرسَل إلى أي مكان إطلاقاً. لا يوجد خادم يُرفَع إليه، ولا استدعاء تحليلات ينقله بعيداً، ولا طرف ثالث في الوسط. كل شيء يحدث في الصفحة التي تنظر إليها، ويستمر بالعمل دون إنترنت طالما هذه الصفحة مفتوحة.

إضافة حساب: ثلاث طرق

معظم الخدمات تعرض رمز QR عند إعداد التحقق بخطوتين، لكن ذلك الرمز يخفي دائماً مفتاحاً سرياً نصياً تحته، ومعظم الخدمات تتيح أيضاً ذلك المفتاح كنص إن لم تستطع مسح الرمز. يدعم المولّد الطرق الثلاث كلها:

عبر المفتاح السري.إن عرضت الخدمة خياراً بعنوان "لا يمكنك مسح الرمز؟" فانسخ ذلك النص المكوَّن من حروف وأرقام. الصقه في تبويب الإدخال اليدوي مع اسم للحساب (واسم الجهة المُصدرة اختيارياً)، وستبدأ الأداة بحساب الرموز فوراً. يتيح لك قسم الإعدادات المتقدّمة مطابقة الإعدادات غير الافتراضية — 6 أو 8 أرقام، ودورة زمنية 30 أو 60 ثانية، وخوارزمية تجزئة SHA-1 أو SHA-256 أو SHA-512 — للحالات النادرة التي لا تعتمد فيها الخدمة الإعدادات القياسية.

عبر رابط otpauth://. بعض الخدمات تمنحك رابط otpauth://totp/... مباشرةً بدلاً من رمز QR أو إضافةً إليه. الصق الرابط كاملاً في تبويب الرابط، وستستخرج الأداة تلقائياً اسم الحساب والجهة المُصدرة والمفتاح السري وأي إعدادات غير افتراضية.

عبر لقطة شاشة لرمز QR. إن كان كل ما لديك هو رمز QR ظاهر على الشاشة، التقط لقطة شاشة له وارفع الصورة في تبويب QR. تفكّ الأداة ترميز الصورة محلياً باستخدام المعالجة نفسها داخل المتصفح كبقية الأداة — الصورة لا تُرفع أبداً إلى أي مكان — وتقرأ رابط otpauth:// المُضمَّن فيها، وتضيف الحساب تماماً كما لو لصقت الرابط بنفسك.

أياً كانت الطريقة، إذا أضفت حساباً بمفتاح سري واسم موجودَين مسبقاً، تسألك الأداة إن كنت تريد استبدال الإدخال الحالي أو الاحتفاظ بالاثنين — كي لا تنتهي بحسابات مكرَّرة دون أن تلاحظ.

«الحفظ على هذا الجهاز» — اقرأ هذا قبل تفعيله

افتراضياً، الحسابات التي تضيفها موجودة فقط لجلسة المتصفح الحالية — أعِد تحميل الصفحة وستختفي. لكل حساب مفتاح تبديل بعنوان «الحفظ على هذا الجهاز»، وعند تفعيله يكتب مفتاح ذلك الحساب السري في التخزين المحلي لمتصفحك كي يبقى بعد إعادة التحميل. هذا الخيار مُطفأ افتراضياً، وهذا الاختيار مقصود.

إليك المفاضلة بصراحة تامة. المفاتيح المحفوظة تُخزَّن دون تشفير في ملف متصفحك. أي شخص يملك وصولاً إلى ذلك الملف — مستخدم آخر لنفس حساب الدخول على الجهاز، أو برمجية خبيثة لديها وصول للملفات المحلية، أو من يستولي على جهازك — يستطيع قراءتها. تطبيق مصادقة مخصّص أقوى بشكل ملموس هنا: فهو غالباً يشفّر تخزينه ويستفيد من حمايات نظام التشغيل (قفل بصمة أو وجه، ومجلد بيانات معزول للتطبيق) التي لا يملكها التخزين المحلي للمتصفح. هذه الأداة مصمَّمة للراحة والشفافية، لا كخزنة أسرار محصّنة، ولا تدّعي ذلك.

قاعدة عملية: اترك المفتاح مطفأً على أي جهاز مشترك أو عام — جهاز عمل يستطيع آخرون تسجيل الدخول إليه، أو جهاز في مكتبة، أو أي شيء لا تتحكّم فيه بالكامل. أما على جهازك الشخصي المشفّر والمحمي بكلمة مرور، فمن المقبول تفعيله للحسابات التي تقبل فيها هذه المفاضلة مقابل الراحة.

ما لا تفعله هذه الأداة

من المهم معرفة قيدَين مسبقاً. يدعم المولّد معيار TOTP فقط — ولا يدعم HOTP (كلمة المرور القائمة على عدّاد)، وهو معيار مختلف وأقل شيوعاً تستخدمه حفنة من مفاتيح الأمان الفعلية.

كما لا يدعم رمز QR الخاص بتصدير Google Authenticator الجماعي، الذي يجمع عدّة حسابات في صيغة ترحيل خاصة بها. إن مسحت أحد هذه الرموز، تخبرك الأداة بذلك وترشدك إلى الحل: عُد إلى Google Authenticator وصدّر حساباتك واحداً تلو الآخر بدلاً من ذلك، فينتج عن هذا رمز QR قياسي لحساب واحد يمكن لهذه الأداة (وأي تطبيق مصادقة آخر متوافق مع المعيار) قراءته.

جرّبه الآن

افتح مولّد TOTP، وأضف حسابك الأول عبر المفتاح السري أو الرابط أو لقطة QR، وشاهد الرمز يتجدّد كل 30 ثانية. يستمر بالعمل دون إنترنت طالما هذه الصفحة مفتوحة، ولا شيء تكتبه فيه يغادر جهازك أبداً. وأثناء وجودك، استكشف بقية أدوات الأمان في أدواتك، بما في ذلك فاحص قوة كلمة المرور و أداة تشفير النصوص.