Khi bật xác thực hai bước (2FA), nhiều dịch vụ cung cấp secret key hoặc mã QR dạng otpauth:// để app authenticator sinh mã TOTP theo thời gian. Bài này hướng dẫn workflow tạo mã từ secret trên trình duyệt — chỉ cho tài khoản bạn sở hữu hoặc được ủy quyền.
TOTP và secret key là gì (mức thực hành)
TOTP (Time-based One-Time Password) là mã ngắn, thay đổi theo cửa sổ thời gian (thường khoảng 30 giây). Secret key là “hạt giống” dùng để sinh mã đó. Ai giữ secret có thể sinh mã hợp lệ, nên secret được xem là dữ liệu nhạy cảm ngang password dự phòng.
- Base32 secret: chuỗi ký tự thường thấy khi setup authenticator thủ công.
- otpauth URI: chuỗi dạng
otpauth://totp/...thường nhúng trong QR. - Mã 6 chữ số: giá trị bạn nhập khi đăng nhập có 2FA.
Khi nào nên tạo mã trên trình duyệt?
Cách này hữu ích khi:
- Bạn đang setup hoặc khôi phục 2FA cho tài khoản của mình.
- Bạn có secret hợp lệ và cần mã OTP ngay trên máy đang dùng.
- Bạn muốn kiểm tra secret/URI trước khi lưu vào authenticator chính.
Không dùng để thử secret không rõ nguồn, secret lấy từ người khác, hoặc bất kỳ truy cập nào không được phép.
Quy trình tạo mã an toàn hơn
- Xác nhận quyền: secret thuộc tài khoản của bạn hoặc bạn được ủy quyền vận hành.
- Chuẩn bị secret sạch: bỏ khoảng trắng thừa; nếu là URI, dán nguyên chuỗi
otpauth://. - Mở tool trên môi trường tin cậy: máy và trình duyệt bạn kiểm soát được.
- Dán secret/URI và tạo mã: dùng 2FA Code Generator trên ToolMMO.
- Nhập mã kịp thời: mã chỉ có hiệu lực trong cửa sổ ngắn; nếu hết hạn, tạo lại.
- Dọn sau khi dùng: không để secret nằm lại trong ảnh chụp, note công khai, ticket, hoặc chat nhóm.
Lưu ý bảo vệ secret key
- Không đăng secret lên forum, group chat, email không mã hóa, hoặc cloud note chung.
- Không chụp màn hình có secret rồi gửi “nhờ tạo hộ” nếu kênh không tin cậy.
- Phân biệt recovery code (mã dự phòng một lần) với TOTP secret — cả hai đều nhạy cảm.
- Nếu nghi secret bị lộ, đổi/rotate 2FA trên dịch vụ gốc theo hướng dẫn của nhà cung cấp.
Lỗi thường gặp khi mã không khớp
- Dán thiếu ký tự secret hoặc dính khoảng trắng/xuống dòng.
- Nhầm URI với secret thuần — hãy dán đúng dạng tool đang yêu cầu.
- Đồng hồ máy lệch — TOTP phụ thuộc thời gian hệ thống.
- Mã đã hết cửa sổ — đợi mã mới rồi nhập lại.
Nếu mã liên tục sai sau khi đã kiểm tra các điểm trên, hãy quay lại trang bảo mật của dịch vụ để xác nhận secret/QR còn hợp lệ.
Kết luận
Tạo mã 2FA/TOTP từ secret key trên trình duyệt là thao tác tiện khi bạn đã có secret hợp pháp và cần OTP nhanh. Hãy ưu tiên quyền truy cập hợp lệ, bảo vệ secret như mật khẩu, và chỉ dùng tool khi môi trường đủ tin cậy. Trên ToolMMO, bắt đầu từ 2FA Code Generator khi bạn cần sinh mã từ Base32 secret hoặc otpauth URI.