2FA doğrulama kodunuzu anında alın

Hesabınıza girerken parolanıza ek olarak ikinci bir kanıt istenmesidir. En yaygın biçimi, bir doğrulayıcı uygulamanın her 30 saniyede bir ürettiği 6 haneli koddur. Parolanız çalınsa bile bu kod olmadan hesabınıza girilemez.

Kodu servis size göndermez, kodu cihazınız hesaplar. 2FA kurulumunda servis size bir gizli anahtar (secret key) verir. Hem servis hem de doğrulayıcı, bu anahtarı o anki saatle birleştirir (HMAC) ve aynı sonuca ulaşır. Standardın adı TOTP'dir (RFC 6238).

Bu yüzden kod üretmek için internet gerekmez. Ama cihazın saatinin doğru olması gerekir.

Base32 biçiminde, yani yalnızca A–Z harfleri ve 2–7 rakamlarından oluşan, genellikle 16–32 karakterlik bir metindir. Örnek: JBSWY3DPEHPK3PXP.

Servis 2FA kurulumunda bir QR kod gösterir; anahtar bu QR'ın içindedir. Çoğu serviste QR'ın altında "Kodu tarayamıyor musunuz?" veya "Anahtarı elle girin" bağlantısı olur; bu bağlantı anahtarı metin olarak gösterir. Google'da bu ekran Google Hesabı → Güvenlik → 2 Adımlı Doğrulama → Authenticator bölümündedir.

Anahtar yalnızca kurulum sırasında gösterilir. Daha önce kurduğunuz bir hesabın anahtarını servisten tekrar alamazsınız. Ya mevcut doğrulayıcı uygulamanızdan dışa aktarırsınız (aşağıdaki Google Authenticator maddesine bakın) ya da servisteki 2FA'yı kaldırıp yeniden kurarsınız.

Evet. Aynı açık standart kullanılır: aynı anahtar, aynı ayarlar ve doğru saat her zaman aynı kodu verir. Microsoft Authenticator, Authy, 2FAS, Aegis, Bitwarden gibi uygulamalar da aynı standardı kullanır. Bu yüzden hepsi aynı anahtarla birbirinin yerine kullanılabilir.

Hane sayısını siz değil, servis belirler. Servis kurulumda kaç haneli kod kullanıyorsa siz de onu seçmelisiniz. Farklı seçerseniz site yine bir kod üretir, ama servis o kodu kabul etmez.

• 6 hane: Google, Microsoft (kişisel hesaplar), Facebook, Instagram, X, GitHub, Amazon, Discord, Dropbox, kripto borsaları ve sitelerin büyük çoğunluğu. Neredeyse her zaman 6 hane · SHA1 · 30 sn.
• 8 hane: Bazı bankalar, kurumsal sistemler, VPN'ler ve iş hesapları. Servis bunu kurulum ekranında belirtir. QR kodun içindeki bağlantıda da digits=8 yazar.

Örneğin Google için oluşturduğunuz bir anahtarda 8 hane seçerseniz ekranda 8 haneli bir kod görürsünüz, ama Google onu reddeder. 8 hane daha güvenlidir; ancak yalnızca servis bunu destekliyorsa işe yarar.

İlginç bilgi: Aynı anahtar ve aynı anda üretilen 8 haneli kodun son 6 hanesi, 6 haneli kodun kendisidir. Örneğin 8 haneli kod 9428 7082 ise 6 haneli kod 287 082 olur.

QR kodla veya otpauth:// bağlantısıyla eklenen hesaplarda bu ayarlar otomatik okunur. Gelişmiş menüsü yalnızca düz anahtar yapıştırdığınızda kullanılır. Her kartın altındaki küçük yazı, o kartta hangi ayarların kullanıldığını gösterir.

Anahtarla saati birleştiren matematiksel fonksiyondur. Servislerin neredeyse tamamı standardın varsayılanı olan SHA1'i kullanır. SHA1'in bilinen zayıflıkları bu kullanımı (HMAC) etkilemez, yani güvenlik açığı oluşturmaz.

Farklı algoritma kullanan servis bunu belirtir. Bazı doğrulayıcı uygulamaların SHA256/SHA512'yi desteklemediğini ya da yok saydığını unutmayın; böyle hesapları başka uygulamaya taşırken kodu kontrol edin.

Kodun ne sıklıkla değiştiğini belirler. Standart süre 30 saniyedir. Az sayıda servis 60 saniye kullanır. Süre yanlış seçilirse kodlar çoğu zaman tutmaz.

• TOTP (zamana dayalı): Kod, süre dolunca kendiliğinden değişir. Neredeyse her yerde bu kullanılır.
• HOTP (sayaca dayalı, RFC 4226): Kod, siz "sonraki kod" düğmesine basana kadar değişmez; her basışta sayaç bir artar. Sizin sayacınızın servisin sayacıyla uyumlu kalması gerekir. Bazı donanım anahtarları ve eski sistemler dışında nadir kullanılır.
• Steam Guard: Steam'e özgü 5 karakterli (harf ve rakam) koddur. Anahtarın Base32 biçiminde olması gerekir. Aegis ve 2FAS dışa aktarımları bu biçimdedir.

Anahtarı Kod Üret sekmesindeki kutuya yapıştırmanız yeterli; kod hemen görünür. Boşluklar, tireler ve küçük harfler sorun çıkarmaz. Koda tıklayınca kod kopyalanır. Sağdaki halka kalan süreyi gösterir ve son 5 saniyede kırmızıya döner.

Bir sonraki 30 saniyelik zaman diliminin kodudur. Kodun süresi bitmek üzereyse kodu yazarken süre dolabilir. Bu durumda süreyi bekleyip sonraki kodu kullanabilirsiniz; tıklayınca kopyalanır. Sonraki kod, kendi zaman dilimi başlayınca geçerli olur. Bazı servisler onu bir dilim önceden de kabul eder.

Kutuya her satıra bir anahtar gelecek şekilde yazın. Şu biçimler otomatik tanınır:

• ANAHTAR
• etiket|ANAHTAR, etiket;ANAHTAR, etiket,ANAHTAR ve sekmeyle ayrılmış satırlar
• kullanici|sifre|ANAHTAR (hesap listeleri)
• Etiket: ANAHTAR
• otpauth://… ve otpauth-migration://… bağlantıları

Satırdaki en uzun geçerli Base32 parçası anahtar, ilk parça da etiket kabul edilir. Tümünü Kopyala düğmesi kodları etiket|kod biçiminde kopyalar. Hatalı satırlar kırmızı gösterilir; diğer satırlar çalışmaya devam eder.

• QR Tara: Kamerayı açar; telefonda arka kamera kullanılır. Birden fazla kamera varsa listeden seçebilirsiniz.
• Görselden Oku: Kayıtlı bir ekran görüntüsünü seçersiniz.
• Yapıştır: Ekran görüntüsünü kopyalayıp sayfada Ctrl+V'ye basarsınız.
• Sürükle-bırak: Görseli sayfanın üzerine bırakırsınız.

Okunan hesap, o an açık olan sekmeye gider: Kod Üret'te kutuya, Kasam'da hesap ekleme penceresine, Araçlar'da çözücüye.

Bağlantı düğmesi, kutudaki anahtarları içeren bir adres kopyalar: https://2fa.niltist.net/#ANAHTAR. Bu adresi yer imlerine eklerseniz tek tıkla kod alırsınız. Adreste # işaretinden sonraki kısım tarayıcı tarafından sunucuya hiç gönderilmez.

/?key=ANAHTAR ve /ANAHTAR biçimleri de çalışır; site açılınca adres # biçimine çevrilir. Ancak bu iki biçimde anahtar sunucuya ulaşmış olur, bu yüzden # biçimini tercih edin.

Bu bağlantıya sahip olan herkes kodlarınızı üretebilir. Bağlantıyı kimseyle paylaşmayın.

• Android (Chrome): ⋮ menüsü → "Uygulamayı yükle" veya "Ana ekrana ekle".
• iPhone / iPad (Safari): Paylaş → "Ana Ekrana Ekle".
• Bilgisayar (Chrome / Edge): Adres çubuğundaki yükleme simgesi.

Site bir kez açıldıktan sonra internet olmadan da çalışır; kodlar zaten cihazda hesaplanır. iPhone'da ana ekrana eklenen uygulama ile Safari ayrı depolama kullanır, yani iki ayrı kasa olur.

Sık kullandığınız hesapları kaydettiğiniz, Google Authenticator'a benzeyen bir listedir. Hesaplarda arama yapabilir, onları düzenleyebilir, sıralayabilir, QR kodunu gösterebilir ve silebilirsiniz.

Hesap eklemenin yolları: Hesap Ekle düğmesi (anahtar veya otpauth:// bağlantısı yapıştırılır), Kod Üret sekmesindeki kartın kaydet simgesi ya da Kasam sekmesi açıkken bir QR görseli yapıştırmak.

Kasa yalnızca bu tarayıcının yerel depolamasında durur. Sunucuya gönderilmez ve cihazlar arasında eşitlenmez. Başka bir cihaza taşımak için yedek alıp diğer cihazda içe aktarın.

Tarayıcının site verilerini temizlerseniz veya gizli sekme kullanırsanız kasa silinir. Bu yüzden düzenli yedek alın.

Parola koyarsanız kasa AES-256-GCM ile şifrelenir. Şifreleme anahtarı parolanızdan PBKDF2-SHA256 ile (310.000 tur) türetilir; parola olmadan içerik okunamaz. 10 dakika boyunca işlem yapılmazsa kasa kendiliğinden kilitlenir. Kilitle düğmesiyle elle de kilitleyebilirsiniz.

Parolayı unutursanız kurtarma yolu yoktur, çünkü parola hiçbir yerde saklanmaz. Tek seçenek "kasayı sıfırla"dır ve tüm hesaplar silinir. Bu yüzden şifreli yedek alın ve parolayı güvenli bir yerde saklayın. Parolayı kaldırmak isterseniz "Parolayı Değiştir" penceresini boş bırakıp onaylayın.

Kasam → Dışa Aktar menüsünde üç seçenek var:

• Şifreli yedek (.json): Önerilen seçenek. Kasa parolasından ayrı bir yedek parolasıyla şifrelenir.
• Şifresiz yedek (.json) ve otpauth bağlantı listesi (.txt): Tüm anahtarlar açık metin olarak durur. Yalnızca başka bir uygulamaya taşırken kullanın ve işiniz bitince dosyayı silin.

İçe Aktar şunları tanır: bu sitenin yedekleri (şifreli veya şifresiz), Aegis (şifresiz JSON), 2FAS (şifresiz .2fas), otpauth bağlantı listeleri ve Google Authenticator dışa aktarma bağlantıları. Aynı anahtar kasaya iki kez eklenmez.

1. Google Authenticator'da ☰ menü → Hesapları aktar → Hesapları dışa aktar'a dokunun.
2. Taşımak istediğiniz hesapları seçin. Ekranda bir veya birkaç QR kod çıkar.
3. Uygulama genellikle ekran görüntüsü almaya izin vermez. Bu yüzden QR'ı bilgisayarın veya başka bir telefonun kamerasıyla Araçlar → QR / URI Çözücü → QR Tara bölümünden okutun.
4. Hesaplar tabloda listelenir. Tümünü Kasaya Ekle'ye basın. Birden fazla QR varsa her birini ayrı ayrı okutun.

Kartın üzerindeki QR simgesine tıklayın; standart bir otpauth QR kodu açılır. Bu kodu Google Authenticator, Microsoft Authenticator veya başka bir doğrulayıcıyla tarayın. Kasanın tamamını taşımak için otpauth listesini dışa aktarıp Aegis veya 2FAS gibi uygulamalara içe aktarabilirsiniz.

Kendi sitesine veya uygulamasına 2FA ekleyen geliştiriciler ve yöneticiler için. Tarayıcının kriptografik rastgele sayı üreticisiyle bir anahtar, otpauth bağlantısı ve QR kod oluşturur. Önerilen uzunluk 160 bittir (32 karakter, RFC 4226). Ürettiğiniz anahtarı test etmek için kasaya kaydedebilirsiniz.

Bir anahtar ve bir kod girersiniz. Araç, kodun şimdiki zaman dilimine mi, yoksa kaç adım önceye veya sonraya mı ait olduğunu gösterir. Sunucunuz kodları reddediyorsa sorunun saat kayması mı, yanlış anahtar ya da ayar mı olduğunu buradan anlarsınız. Hane sayısı (6–8) girdiğiniz koddan otomatik anlaşılır.

TOTP kodları saate bağlıdır ve çoğu servis yalnızca 30 saniye civarında bir sapmayı kabul eder. Site açılırken sunucu saatini ölçüp cihazınızın saatiyle arasındaki farkı hesaplar. Üst köşedeki gösterge "Saat doğru" yazar ya da düzeltilen farkı gösterir. Otomatik düzeltme açıkken kodlar doğru saate göre üretilir.

Ölçüm yaklaşık ±0,5 saniye hassastır, bu yüzden 1,5 saniyenin altındaki farklar dikkate alınmaz. Gerekirse Araçlar → Saat Senkronizasyonu bölümünden elle düzeltme (saniye) girebilirsiniz. Kalıcı çözüm, cihazınızda "Saati otomatik ayarla" seçeneğini açmaktır.

Bir QR görselinin ya da otpauth / otpauth-migration bağlantısının içindeki anahtarları, servis ve hesap adlarını ve ayarları tablo halinde gösterir. Buradan anahtarı kopyalayabilir, hesabı QR olarak yeniden gösterebilir veya kasaya ekleyebilirsiniz.

Sırayla şunları kontrol edin:

1. Saat: Üst köşedeki gösterge uyarı veriyorsa cihazınızın saatini otomatik ayara alın.
2. Süre: Kodu yazarken süresi dolduysa yeni kodu kullanın.
3. Ayarlar: Hane, algoritma ve süre servisinkiyle aynı olmalı; çoğunlukla 6 hane / SHA1 / 30 sn. Kartın altındaki küçük yazı kullanılan ayarları gösterir.
4. Anahtar: Doğru hesabın anahtarını mı kullanıyorsunuz? Servisteki 2FA'yı yeniden kurduysanız eski anahtar artık geçersizdir.
5. Kurulum onayı: Bazı servislerde 2FA, kurulum ekranında ilk kodu girip onaylayana kadar etkinleşmez.

Base32 alfabesinde yalnızca A–Z harfleri ve 2–7 rakamları bulunur. 0, 1, 8 ve 9 rakamları geçersizdir; bunlar çoğunlukla O, I/L veya B harfleriyle karıştırılır. Anahtarı elle yazdıysanız bu karakterleri kontrol edin. Bazı servisler anahtarı farklı bir biçimde (Base64 veya onaltılık) verir; bu durumda servisin QR kodunu kullanın.

Tarayıcının bu siteye kamera izni verdiğinden emin olun (adres çubuğundaki kilit veya ayar simgesinden). Kamerayı başka bir uygulama kullanıyorsa o uygulamayı kapatın. Yine olmazsa QR'ın ekran görüntüsünü alıp Görselden Oku ile yükleyin.

Kasa, tarayıcıya ve cihaza özeldir. Farklı bir tarayıcı, gizli sekme, başka bir tarayıcı profili ya da iPhone'da ana ekran uygulamasıyla Safari ayrı kasalar kullanır. Tarayıcı verileri temizlendiyse kasa silinmiştir; yedekten geri yükleyin.

Tüm hesaplama tarayıcınızda, Web Crypto API ile yapılır. Anahtarlar sunucuya gönderilmez. Sitede üyelik, veritabanı, çerez, reklam ya da analiz aracı yoktur. Sıkı bir İçerik Güvenlik Politikası (CSP) yalnızca sitenin kendi dosyalarının çalışmasına izin verir ve dış adreslere veri gönderilmesini engeller. Site internetsiz de çalışır; bu da hesaplamanın sunucuya bağlı olmadığını gösterir.

Hayır. Anahtara sahip olan herkes kodlarınızı süresiz olarak üretebilir. Kodlar da yalnızca sizin içindir. Hiçbir servis, banka veya destek ekibi kodunuzu telefonla ya da mesajla istemez; isteyen kişi dolandırıcıdır.

Gerekiyorsa gizli sekme açın, hesabı kasaya kaydetmeyin ve işiniz bitince sekmeyi kapatın. #ANAHTAR içeren bağlantılar tarayıcı geçmişinde kalır; başkasının cihazında bu bağlantıları kullanmayın.

2FA kurarken servislerin verdiği kurtarma (yedek) kodlarını mutlaka bir yere kaydedin. Anahtarlarınızın şifreli yedeğini alın ya da onları en az iki ayrı yerde tutun; örneğin bir telefon uygulamasında ve bu sitenin kasasında. Kurtarma kodu da yedek de yoksa servisin hesap kurtarma sürecine başvurmanız gerekir; bu süreç genellikle uzun sürer.

Hızlı kod almak, toplu işlem yapmak, hesap taşımak ve yedeklemek için çok uygundur. Kasa günlük kullanım için de yeterlidir, ama tek bir cihaza güvenmeyin ve hesaplarınızı yedekli tutun. E-posta ve banka gibi en kritik hesaplarda passkey ya da donanım güvenlik anahtarı daha güçlü bir korumadır.

Site ücretsizdir ve reklam içermez. niltist.net tarafından geliştirilir. Dayandığı açık standartlar: RFC 4226 (HOTP), RFC 6238 (TOTP), otpauth bağlantı biçimi ve Web Crypto API.

It asks for a second proof in addition to your password. The most common form is a 6-digit code that an authenticator app generates every 30 seconds. Even if your password is stolen, nobody can sign in without this code.

The service doesn't send you the code; your device calculates it. During 2FA setup the service gives you a secret key. Both the service and your authenticator combine that key with the current time (HMAC) and arrive at the same result. The standard is called TOTP (RFC 6238).

That's why no internet connection is needed, but your device's clock has to be correct.

It's a Base32 string (letters A–Z and digits 2–7 only), usually 16–32 characters long, for example JBSWY3DPEHPK3PXP.

During 2FA setup the service shows a QR code that contains the key. Most services have a "Can't scan it?" or "Enter key manually" link below the QR that shows the key as text. On Google you'll find this under Google Account → Security → 2-Step Verification → Authenticator.

The key is only shown during setup. You can't get it again from the service later. Either export it from your current authenticator app (see the Google Authenticator question below) or turn 2FA off on the service and set it up again.

Yes. It uses the same open standard: the same key, the same settings and a correct clock always produce the same code. Microsoft Authenticator, Authy, 2FAS, Aegis, Bitwarden and others follow the same standard, so any of them can be used interchangeably with the same key.

The service decides the number of digits, not you. Choose whatever the service used during setup. If you choose something else, this site still shows a code, but the service will reject it.

• 6 digits: Google, Microsoft (personal accounts), Facebook, Instagram, X, GitHub, Amazon, Discord, Dropbox, crypto exchanges and the vast majority of sites. Almost always 6 digits · SHA1 · 30 s.
• 8 digits: Some banks, enterprise systems, VPNs and work accounts. The service says so during setup, and the link inside the QR contains digits=8.

For example, if you pick 8 digits for a Google key you'll see an 8-digit code, but Google will reject it. 8 digits are stronger, but only when the service supports them.

Fun fact: for the same key and moment, the last 6 digits of the 8-digit code are exactly the 6-digit code. If the 8-digit code is 9428 7082, the 6-digit code is 287 082.

Accounts added by QR or an otpauth:// link pick these settings up automatically. The Advanced menu only applies when you paste a plain key. The small text at the bottom of each card shows which settings it uses.

It's the mathematical function that combines the key with the time. Almost every service uses SHA1, the standard's default. SHA1's known weaknesses don't affect this use (HMAC), so it isn't a security problem.

A service that uses another algorithm will tell you. Keep in mind that some authenticator apps don't support or ignore SHA256/SHA512, so check the code when you move such accounts to another app.

It's how often the code changes. The standard is 30 seconds; a few services use 60. With the wrong period, codes usually won't match.

• TOTP (time-based): The code changes on its own when time runs out. Used almost everywhere.
• HOTP (counter-based, RFC 4226): The code stays the same until you press "next code", and each press increases the counter by one. Your counter has to stay in sync with the service's. Rare, apart from some hardware tokens and legacy systems.
• Steam Guard: Steam's own 5-character code (letters and digits). The key has to be Base32; Aegis and 2FAS exports use that format.

Paste the key into the box on the Generate tab and the code appears right away. Spaces, dashes and lowercase letters are fine. Click the code to copy it. The ring on the right shows the time left and turns red in the last 5 seconds.

It's the code for the next 30-second window. If the current code is about to expire, it may run out while you type; you can wait and use the next code instead (click it to copy). The next code becomes valid when its window starts, and some services already accept it one window early.

Write one key per line. These formats are detected automatically:

• SECRET
• label|SECRET, label;SECRET, label,SECRET and tab-separated lines
• user|password|SECRET (account lists)
• Label: SECRET
• otpauth://… and otpauth-migration://… links

The longest valid Base32 part of a line is taken as the key and the first part as the label. Copy All copies the codes as label|code. Invalid lines are shown in red while the other lines keep working.

• Scan QR: Opens the camera (the rear camera on phones). If there are several cameras, you can pick one from the list.
• From Image: Choose a saved screenshot.
• Paste: Copy the screenshot and press Ctrl+V on the page.
• Drag & drop: Drop the image onto the page.

The account goes to the tab that's open: the box on Generate, the add-account window on Vault, the decoder on Tools.

The Link button copies an address containing the keys in the box: https://2fa.niltist.net/#SECRET. Bookmark it and you get the code in one click. Browsers never send the part after # to the server.

/?key=SECRET and /SECRET also work, and the address is switched to the # form once the site opens. In those two forms, though, the key has already reached the server, so prefer the # form.

Anyone with this link can generate your codes. Don't share it.

• Android (Chrome): ⋮ menu → "Install app" or "Add to Home screen".
• iPhone / iPad (Safari): Share → "Add to Home Screen".
• Desktop (Chrome / Edge): The install icon in the address bar.

After the first visit the site works without internet; codes are computed on your device anyway. On iPhone, the home-screen app and Safari use separate storage, so you end up with two separate vaults.

It's a Google Authenticator-style list of the accounts you use often. You can search, edit, reorder and delete accounts and show their QR codes.

To add an account, use Add Account (paste a key or an otpauth:// link), the save icon on a card on the Generate tab, or paste a QR image while the Vault tab is open.

The vault lives only in this browser's local storage. It isn't sent to the server and isn't synced between devices. To move it, export a backup and import it on the other device.

Clearing the browser's site data or using a private window deletes the vault, so make regular backups.

With a password, the vault is encrypted with AES-256-GCM. The encryption key is derived from your password with PBKDF2-SHA256 (310,000 rounds), and nobody can read the contents without the password. After 10 minutes of inactivity the vault locks itself, and you can also lock it with the Lock button.

If you forget the password, it can't be recovered, because it isn't stored anywhere. The only option is "reset vault", which deletes all accounts. So keep encrypted backups and store the password somewhere safe. To remove the password, open "Change Password", leave it empty and confirm.

Vault → Export offers three options:

• Encrypted backup (.json): Recommended. It's encrypted with a backup password that's separate from the vault password.
• Plain backup (.json) and otpauth link list (.txt): All keys are in clear text. Use them only to move to another app, then delete the file.

Import accepts: this site's backups (encrypted or plain), Aegis (plain JSON), 2FAS (unencrypted .2fas), otpauth link lists and Google Authenticator export links. The same key is never added to the vault twice.

1. In Google Authenticator tap ☰ → Transfer accounts → Export accounts.
2. Select the accounts you want to move. One or more QR codes appear.
3. The app usually blocks screenshots, so scan the QR with a computer's or another phone's camera in Tools → QR / URI Decoder → Scan QR.
4. The accounts are listed in a table. Press Add All to Vault, and scan each QR separately if there are several.

Click the QR icon on the card to open a standard otpauth QR code, then scan it with Google Authenticator, Microsoft Authenticator or any other authenticator. To move the whole vault, export the otpauth list and import it into apps like Aegis or 2FAS.

Developers and admins adding 2FA to their own site or app. It creates a key, an otpauth link and a QR code using the browser's cryptographic random number generator. The recommended length is 160 bits (32 characters, RFC 4226). You can save the generated key to the vault for testing.

You enter a key and a code. The tool shows whether the code belongs to the current time window, or how many steps before or after it falls. If your server rejects codes, this tells you whether the problem is clock drift or a wrong key or setting. The number of digits (6–8) is taken from the code you enter.

TOTP codes depend on time, and most services only tolerate a drift of about 30 seconds. When the site opens, it measures the server time and calculates the difference from your device's clock. The header chip shows "Clock OK" or the corrected offset. With automatic correction on, codes are generated with the correct time.

The measurement is accurate to about ±0.5 s, so differences under 1.5 s are ignored. If needed, you can enter a manual offset (in seconds) under Tools → Clock Sync. The permanent fix is to turn on "Set time automatically" on your device.

It shows the keys, service and account names, and settings inside a QR image or an otpauth / otpauth-migration link as a table. From there you can copy a key, show the account as a QR again, or add it to the vault.

Check these in order:

1. Clock: If the header chip shows a warning, set your device's clock to automatic.
2. Timing: If the code expired while you were typing, use the new one.
3. Settings: Digits, algorithm and period must match the service, usually 6 / SHA1 / 30. The small text under each card shows the settings in use.
4. Key: Is it the right account's key? If you set up 2FA on the service again, the old key no longer works.
5. Setup confirmation: On some services, 2FA isn't active until you enter the first code on the setup screen to confirm it.

The Base32 alphabet only has the letters A–Z and the digits 2–7. The digits 0, 1, 8 and 9 are invalid; they're usually mix-ups for O, I/L or B. If you typed the key by hand, check these characters. Some services give the key in another format (Base64 or hex); in that case use the service's QR code.

Make sure the browser has camera permission for this site (via the lock or settings icon in the address bar). If another app is using the camera, close that app. If it still doesn't work, take a screenshot of the QR and load it with From Image.

The vault is tied to the browser and the device. A different browser, a private window, another browser profile, or on iPhone the home-screen app versus Safari, each use a separate vault. If browser data was cleared, the vault is gone; restore it from a backup.

Everything is computed in your browser with the Web Crypto API, and keys are never sent to the server. The site has no accounts, database, cookies, ads or analytics. A strict Content Security Policy (CSP) only lets the site's own files run and blocks sending data to outside addresses. The site also works offline, which shows the calculation doesn't depend on the server.

No. Anyone with the key can generate your codes indefinitely. Codes are for you alone, too. No service, bank or support team asks for your code by phone or message; anyone who does is a scammer.

If you have to, use a private window, don't save the account to the vault, and close the tab when you're done. Links containing #SECRET stay in the browser history, so don't use them on other people's devices.

Always save the recovery (backup) codes that services give you when you set up 2FA. Keep encrypted backups of your keys, or keep them in at least two separate places, for example a phone app and this site's vault. Without recovery codes or backups you'll have to go through the service's account recovery process, which usually takes a long time.

It's great for quick codes, bulk work, moving accounts and backups, and the vault is fine for daily use too. Just don't rely on a single device; keep your accounts backed up. For your most critical accounts, such as email and banking, passkeys or hardware security keys give stronger protection.

The site is free and has no ads. It's developed by niltist.net and built on these open standards: RFC 4226 (HOTP), RFC 6238 (TOTP), the otpauth link format and the Web Crypto API.