ForHosting KIT · 開発者向けツール

【無料】TOTPコードを生成

認証アプリが30秒ごとに表示する6桁のコードは、共有シークレットと現在時刻から計算されます。シークレットを入れると現在のコードと残り秒数が分かり、入力されたコードの確認もできます。ブラウザで無料で使えます。

無料
ブラウザで動作
登録不要
データは端末の外に出ません

ご利用方法ウェブAPIメールTelegramアプリ近日

秘密鍵からTOTP（時間ベースのワンタイムパスワード）の6桁コードを生成するツールです。2段階認証の実装中に、認証アプリを使わずコードの動作を確認したい場面に向いています。

時間ベースのコードができる仕組み

TOTPのコードは魔法ではなく計算です。共有シークレットと現在時刻を組み合わせてハッシュ化し、6桁のコードを作ります。時刻は30秒ごとの区切りに分けられるため、区切りが変わるたびに新しいコードになります。この方式は2011年にRFC 6238として標準化され、それ以前のカウンター方式であるHOTP（RFC 4226）を土台にしています。カウンターは、生成したコードが使われないとずれてしまいますが、時刻なら区切りごとに自然にそろいます。そのため、QRコードを読み込む認証アプリのほとんどがHOTPではなくTOTPを使っています。

使い道と注意したい点

生成すると、現在のコードとあと何秒有効かが分かります。確認では、入力されたコードが正しいかどうかと、どの時間の区切りに一致したかが分かります。スマートフォンとサーバーの時計の小さなずれは普通のことだからです。パスワード入力後のログイン確認、新しいQRコードが正しく読み込まれたかの確認、サポート窓口での電話によるアカウント復旧、二段階認証付きのテスト用アカウントへの自動ログインなどに使えます。このずれの許容を自前で作ると間違えやすく、正しい利用者を締め出したり、受け付けてはいけないコードを通したりします。形式の正しくないシークレットはすぐに拒否されます。

TOTPとは

TOTPは、秘密鍵と現在時刻から一定間隔で新しいコードを生成する仕組みです。認証アプリの2段階認証と同じ方式です。

使い方

秘密鍵（Base32形式が一般的です）を入力すると、現在有効な6桁のコードが表示されます。時間の経過とともにコードは自動的に切り替わります。

活用例

2段階認証の実装テスト

佐藤健一さんは、実装中の2段階認証機能を確認するため、テスト用の秘密鍵からその場でコードを生成し、スマートフォンなしで動作を確認しています。

サポート対応での再現確認

鈴木美咲さんは、利用者から報告された認証エラーの原因を調べる際、同じ秘密鍵を使ってコードを再現し、時刻のずれが原因かどうかを確認しています。

よくある質問

認証アプリで使っている本物の鍵を入力しても安全ですか？

実運用中の秘密鍵を第三者のツールに入力すること自体にリスクがあるため、テスト専用の鍵での利用をおすすめします。

なぜ無料で使えるのですか？

コード生成自体は軽い計算で、ブラウザ内で完結するため無料にしています。

日本語のサポートはありますか？

申し訳ありませんが、日本語でのサポートは行っておりません。サポートは英語またはスペイン語で、担当者が直接対応します。ツール自体は日本語の環境でも問題なくご利用いただけます。

時刻がずれているとどうなりますか？

TOTPは端末の時刻に依存するため、大きくずれているとコードが一致しません。お使いの端末の時刻を正確に保つ必要があります。

コードが30秒ごとに変わるのはなぜですか？

時間を30秒ごとの区切りに分け、その区切りとシークレットを組み合わせてコードを作るためです。生成時には、そのコードがあと何秒有効かも表示されます。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/dev/totp

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/dev/totp \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d '{"secret":"JBSWY3DPEHPK3PXP"}'

const res = await fetch("https://api.kit.forhosting.com/dev/totp", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "secret": "JBSWY3DPEHPK3PXP"
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/dev/totp",
    headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
    json={
    "secret": "JBSWY3DPEHPK3PXP"
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/dev/totp", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => '{"secret":"JBSWY3DPEHPK3PXP"}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"secret":"JBSWY3DPEHPK3PXP"}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/dev/totp", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "secret": "JBSWY3DPEHPK3PXP"
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "dev.totp",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

技術的な注記

設定できる項目

コードの桁数や更新間隔（一般的には30秒）、使用するハッシュアルゴリズムなど、認証アプリ側の設定に合わせて調整できます。

ブラウザ完結・無料

生成はブラウザの中で行われ、サーバーへの送信はありません。開発中の自動テストに組み込みたい場合は、APIから同じ機能を呼び出せます。料金は1リクエストあたり$0.002（米ドル）です。

連携の活用例

自動テストへの組み込み

合同会社みどりデザインのチームは、ログインに2段階認証を挟むテストシナリオで、APIから都度TOTPコードを取得し、手動入力なしでテストを流しています。

技術的な質問

入力した秘密鍵は保存されますか？

保存されません。生成のたびに入力していただきます。

会員登録は必要ですか？

不要です。ページを開けばすぐにコードを生成できます。

APIから使う場合の料金は？

1リクエストあたり$0.002です。桁数や更新間隔による追加料金はありません。

KITの完全なドキュメントを見る →