Como usar Autenticador TOTP com segurança
Gere códigos únicos de 30 segundos a partir de um segredo. As chaves ficam no seu aparelho. Segredos e hashes pedem disciplina — gerar, guardar e nunca expor. Ferramentas que rodam no aparelho reduzem a superfície de risco. Abaixo, o uso recomendado com checagens de sanidade. Mantenha o original à parte para confrontar antes de enviar. Limites de entrada estão descritos na página. Documentar entradas e saídas facilita auditoria e repetição no mês seguinte. Um teste pequeno prevê o comportamento do restante. Confira os pontos principais antes de seguir adiante.
- Cole a entrada em Autenticador TOTP e confira codificação — UTF-8 sem BOM na maioria dos casos.
- Execute e leia a saída com atenção a escapes, aspas e quebras.
- Valide o resultado no consumidor real: parser, endpoint ou biblioteca.
- Chaves e segredos ficam no seu aparelho; não compartilhe tela com segredo visível.
- Registre o formato exato usado — versão, algoritmo e codificação — junto ao artefato.
- Para falhas intermitentes, isole o menor trecho que reproduz o erro.
Rodrigo, de operações em São Paulo, herdou um agendamento que rodava em horário inexplicável. Com Autenticador TOTP, ele leu a expressão corretamente e alinhou a janela com o time. Os relatórios passaram a sair no horário combinado. Na prática, Autenticador TOTP serviu para ver o código de 6 dígitos com a contagem regressiva. A janela nova foi comunicada a todos os afetados. Ele revisa agendamentos a cada mudança de horário de verão. Fuso e codificação entram na checagem. Campos e histórico são limpos ao terminar.
Limpe segredos de campos, histórico e capturas ao concluir, sobretudo em máquina compartilhada. Hashes com salt mudam a cada geração — compare pelo verificador, não pelo texto. Documente algoritmo, custo e formato junto ao artefato. Gire segredos expostos sem demora. Revise permissões de quem acessa. Capturas com segredo são apagadas. A versão usada acompanha o incidente. Ele registra formato e versão junto ao artefato. Casos mínimos reproduzem o erro sem ruído.
Assinatura de JWT é verificada?
Não. Decodificação só lê o conteúdo; emissor e permissões pedem verificação por canal próprio.
Hash igual nunca se repete. É defeito?
Não. Salt aleatório gera hash diferente a cada vez; compare pelo verificador da aplicação.
Regex travou a página. O que houve?
Padrão caro sobre texto grande. Simplifique, limite o tamanho e teste contra casos positivos e negativos.
Timestamp veio em fuso errado?
Unix conta segundos em UTC; a leitura usa o fuso do aparelho. Converta explicitamente para o fuso do contrato.
Base64 com quebra de linha falha?
Limpe quebras e espaços antes de decodificar. Entrada quebrada gera aviso em vez de saída silenciosa.