⏱️ TOTP Simulator

Wat is TOTP?

TOTP staat voor Time-based One-Time Password — de 6-cijferige code die een authenticator-app (Google Authenticator, Microsoft Authenticator, 1Password...) elke 30 seconden ververst.

Simpel gezegd: bij het instellen van 2FA scan je een QR-code. Daarachter zit een geheime sleutel die vanaf dat moment zowel jouw app als de server kennen — maar die verder nooit meer over het netwerk gaat. Elke 30 seconden berekenen je app én de server onafhankelijk van elkaar dezelfde code, op basis van die geheime sleutel plus de huidige tijd. Komen de codes overeen? Dan ben jij het.

Stap 0 van 5

🔢 Live demo — echte TOTP-codes

Dit is een echte, werkende TOTP-berekening (RFC 6238, HMAC-SHA1) op een demo-sleutel — precies het algoritme dat elke authenticator-app gebruikt. Vergelijk 'm gerust met een echte app die dezelfde sleutel kreeg.

Demo-sleutel (base32): JBSWY3DPEHPK3PXP

------

🔍 Waarom sterker dan een SMS-code? Een SMS gaat over het telefoonnetwerk — kwetsbaar voor sim-swap-fraude en het is bekend dat SS7-netwerkzwaktes sms'jes kunnen onderscheppen. TOTP heeft geen netwerkverbinding nodig: de code wordt lokaal op je toestel berekend uit een sleutel die nooit opnieuw verzonden wordt.

⚠️ Wel een zwakte: als iemand de geheime sleutel zelf steelt (bijvoorbeeld bij het scannen van de QR-code, of uit een geëxporteerde back-up), kan die persoon voor altijd geldige codes genereren — TOTP beschermt niet tegen een gestolen sleutel, alleen tegen het onderscheppen van één losse code.