Base64 a Base32 para secretos TOTP

Cómo convertir Base64 a Base32

1. Pega el Base64 en Entrada · Base64. Se admiten caracteres URL-safe (-, _), relleno ausente y saltos de línea.
2. Lee el resultado en Salida · Base32 (RFC 4648).
3. Para un enlace otpauth:// o una app autenticadora, desmarca Relleno (=) bajo la salida.
4. Haz clic en Copiar salida. Base32 (RFC 4648) → Base64 en el selector de dirección convierte en sentido contrario, igual que la página Base32 a Base64.

Los bytes intermedios no cambian. Entra una clave de 20 bytes y sale una clave de 20 bytes, como muestra el contador Bytes bajo la herramienta.

Ejemplos

Las dos cadenas de las primeras filas no se parecen en nada, y es normal: Base64 usa 6 bits por carácter y Base32 usa 5, así que los caracteres nunca coinciden.

El error que hay que evitar es codificar los caracteres Base64 como texto. Si pegas iEwO+V01Llzjb4MxBUtgEuCNW8o= en un codificador de texto a Base32 obtienes NFCXOTZLKYYDCTDM…, que es Base32 válido, pero de los propios 28 caracteres. Los códigos del autenticador generados con eso nunca coincidirán con los del servidor.

Configurar TOTP a partir de un secreto Base64

El código del servidor suele guardar el secreto compartido en Base64, o lo genera con un comando como este:

openssl rand -base64 20

Para darlo de alta en una app autenticadora, conviértelo aquí y construye la URI de clave:

otpauth://totp/Example:alice@example.com?secret=RBGA56K5GUXFZY3PQMYQKS3ACLQI2W6K&issuer=Example

algorithm, digits y period se pueden añadir como parámetros; sin ellos, las apps asumen SHA-1, 6 dígitos y 30 segundos. Convierte el enlace en un código QR con cualquier herramienta QR local, o deja que el usuario teclee a mano el secreto Base32. El secreto son los mismos bytes que tu servidor pasa a HMAC, así que los códigos coinciden sin tocar el servidor.

Si necesitas un secreto nuevo en lugar de uno existente, genera 20 bytes aleatorios en Base64 con el generador de Base64 aleatorio (ajuste Personalizado) y conviértelos aquí.

Longitudes para tamaños de clave habituales

Los tamaños múltiplos de 5 bytes, como 10 y 20, dan Base32 sin ningún relleno.

La misma conversión en Python

import base64

secret_b64 = "iEwO+V01Llzjb4MxBUtgEuCNW8o="
base64.b32encode(base64.b64decode(secret_b64)).decode().rstrip("=")
# 'RBGA56K5GUXFZY3PQMYQKS3ACLQI2W6K'

Para entrada URL-safe usa base64.urlsafe_b64decode, y añade antes el relleno = si se eliminó. Más sobre esto en Base64 en Python.

Preguntas frecuentes