Generador de códigos de respaldo 2FA con semilla

Indique una cantidad y una semilla secreta, y las mismas entradas siempre producirán el mismo conjunto ordenado. Esta repetibilidad resulta útil para aprovisionamiento controlado, datos de prueba, procedimientos documentados de recuperación y sistemas que deben reconstruir códigos sin guardar la lista generada. El cálculo es exclusivamente local: no utiliza la red, el reloj, una fuente aleatoria, datos de cuentas ni estado oculto. Proteja la semilla y cada código resultante como material de autenticación confidencial.

Elija la cantidad y proteja la semilla

Comience por decidir cuántos códigos de recuperación debe emitir la cuenta o aplicación. La cantidad debe ser un entero entre uno y mil; una solicitud inferior a uno se rechaza en lugar de producir silenciosamente un conjunto vacío. Después, indique una semilla que no esté vacía. La semilla es la fuente completa de reproducibilidad, por lo que valores idénticos de semilla y cantidad generan códigos idénticos en el mismo orden. Utilice un secreto largo y de alta entropía, creado y almacenado mediante el procedimiento de gestión de secretos aprobado por su organización. El nombre de una persona, una dirección de correo, la etiqueta de un proyecto o una frase breve y fácil de recordar no son semillas adecuadas para producción, porque otra persona podría adivinarlos y reconstruir los códigos. No reutilice una semilla entre usuarios, entornos o servicios. La separación de dominios del algoritmo evita coincidencias accidentales con otras derivaciones, pero no corrige una semilla débil o expuesta. Para pruebas automatizadas reproducibles, identifique y aísle claramente las semillas de prueba, de modo que sus resultados nunca sean válidos en un sistema de autenticación de producción. La semilla admite como máximo 4,096 caracteres para que la ejecución permanezca acotada y previsible.

Comprenda el proceso de generación determinista

Cada posición de salida se deriva por separado con SHA-256 a partir de una etiqueta con versión, la longitud exacta de la semilla, el texto de la semilla, la posición desde cero y un contador de reintentos. Incluir la longitud hace inequívoca la delimitación de la entrada, mientras que la etiqueta con versión separa este uso de otros cálculos basados en semillas. El generador lee valores sin signo del resumen y aplica muestreo por rechazo antes de reducirlos a ocho dígitos decimales. Ese paso evita el pequeño sesgo de distribución que introduciría una conversión directa mediante módulo. Cada número aceptado se presenta en dos grupos de cuatro dígitos separados por un guion y conserva los ceros iniciales. Un conjunto registra los valores ya emitidos; si se produce una colisión, el contador avanza de forma determinista hasta encontrar un código nuevo. Por eso, el resultado contiene la cantidad solicitada de códigos únicos, y una nueva ejecución reproduce tanto las decisiones ante colisiones como la lista final. Ningún servicio de red, reloj del sistema, generador aleatorio del entorno, caché persistente ni estado mutable del módulo puede alterar la respuesta. Cambiar un solo carácter de la semilla normalmente transforma toda la lista.

Implemente, almacene e invalide los códigos de forma segura

La generación es solo una parte de un procedimiento de códigos de respaldo. Su servicio de autenticación debe guardar un verificador aprobado para cada código, marcarlo como consumido tras el primer uso correcto, limitar la frecuencia de intentos y ofrecer una acción deliberada de revocación o regeneración. Nunca registre la semilla ni los códigos sin cifrar en analítica, trazas, solicitudes de soporte, salidas de compilación o conversaciones compartidas. Entregue los códigos al usuario autenticado mediante una sesión protegida y recomiende almacenarlos sin conexión en un gestor de contraseñas u otro lugar seguro. El determinismo facilita la recuperación ante desastres y el aprovisionamiento controlado, pero también permite que cualquiera que obtenga la semilla reconstruya todos los códigos. Rote a una semilla nueva e independiente ante cualquier sospecha de exposición, cuando el usuario pida regenerarlos o cuando la política exija invalidar el conjunto anterior. No se limite a solicitar otra cantidad con la semilla antigua: las posiciones comunes de ambas solicitudes seguirán siendo iguales. Los dígitos agrupados facilitan la transcripción, pero cada código solo dispone de cien millones de valores posibles; por ello, las defensas en línea continúan siendo esenciales. La API cuesta $0.002 por solicitud y la opción del navegador emplea el mismo cálculo puro.