Base64 para Base32 para segredos TOTP

Como converter Base64 para Base32

1. Cole o Base64 em Entrada · Base64. Caracteres URL-safe (-, _), preenchimento ausente e quebras de linha não são problema.
2. Leia o resultado em Saída · Base32 (RFC 4648).
3. Para um link otpauth:// ou um app autenticador, desmarque Preenchimento (=) abaixo da saída.
4. Clique em Copiar saída. Base32 (RFC 4648) → Base64 no seletor de direção converte no sentido inverso, assim como a página Base32 para Base64.

Os bytes no meio do caminho não mudam. Entra uma chave de 20 bytes, sai uma chave de 20 bytes, como mostra o contador Bytes abaixo da ferramenta.

Exemplos

As duas strings das primeiras linhas não se parecem em nada, e isso é normal: o Base64 usa 6 bits por caractere e o Base32 usa 5, então os caracteres nunca se alinham.

O erro a evitar é codificar os caracteres do Base64 como texto. Colar iEwO+V01Llzjb4MxBUtgEuCNW8o= num codificador de texto para Base32 dá NFCXOTZLKYYDCTDM…, que é Base32 válido dos próprios 28 caracteres. Os códigos gerados a partir disso nunca vão bater com os do servidor.

Configurando TOTP a partir de um segredo em Base64

O código do servidor muitas vezes guarda o segredo compartilhado em Base64, ou o gera com um comando como este:

openssl rand -base64 20

Para cadastrá-lo num app autenticador, converta aqui e depois monte o URI da chave:

otpauth://totp/Example:alice@example.com?secret=RBGA56K5GUXFZY3PQMYQKS3ACLQI2W6K&issuer=Example

algorithm, digits e period podem ser acrescentados como parâmetros; sem eles, os apps assumem SHA-1, 6 dígitos e 30 segundos. Transforme o link em QR code com qualquer ferramenta de QR local, ou deixe o usuário digitar o segredo Base32 à mão. O segredo são os mesmos bytes que o seu servidor passa para o HMAC, então os códigos batem sem nenhuma mudança no servidor.

Se você precisa de um segredo novo em vez de um existente, gere 20 bytes aleatórios em Base64 com o gerador de Base64 aleatório (predefinição Personalizado) e converta aqui.

Comprimentos para tamanhos de chave comuns

Tamanhos múltiplos de 5 bytes, como 10 e 20, dão Base32 sem preenchimento nenhum.

A mesma conversão em Python

import base64

secret_b64 = "iEwO+V01Llzjb4MxBUtgEuCNW8o="
base64.b32encode(base64.b64decode(secret_b64)).decode().rstrip("=")
# 'RBGA56K5GUXFZY3PQMYQKS3ACLQI2W6K'

Para entrada URL-safe, use base64.urlsafe_b64decode e acrescente o preenchimento = antes, se ele tiver sido removido. Mais sobre isso em Base64 em Python.

Perguntas frequentes