otpauth:// — структура ссылки и где применяется

Определение

Сервис включает двухфакторку и показывает квадратик «отсканируйте приложением». Внутри квадратика не ссылка на сайт, а строка со схемой otpauth://. Схему сделали для Google Authenticator, и она стала стандартом де-факто: её понимают Яндекс Ключ, Aegis, менеджеры паролей.

По устройству это родственник WIFI URI и Geo URI — формат «данные для приложения, а не адрес в интернете». Обработчик один: генератор кодов на вашем устройстве.

Как работает

Строка собрана из четырёх частей, и порядок у них жёсткий:

otpauth://totp/Сервис:ivan@mail.ru?secret=BASE32&issuer=Сервис&period=30

Ценность в строке одна — secret, ключ в Base32: из него и текущего времени TOTP считает код, там же построчно разобраны остальные поля и значения по умолчанию. Здесь важнее синтаксис. Схема и тип регистр не различают, порядок параметров не важен, а метка к разбору чувствительна: двоеточие внутри логина, пробелы и кириллица пишутся процентными кодами (%3A, %20), иначе приложение обрежет метку на первом спецсимволе. Разошлись issuer в метке и в параметрах — одни приложения покажут одну запись, другие две.

Секрет показывают один раз: закрыли окно — тот же QR не получить, только отключить 2FA и подключить заново с новым секретом.

Связанные концепции

Что идёт не так с этой строкой:

• скриншот QR улетел в облачную галерею или в чат — кто увидит картинку, соберёт второй рабочий генератор ваших кодов, и вы не узнаете;
• картинку прогнали через онлайн-сканер ради любопытства — секрет ушёл на чужой сервер (как отсканировать QR-код по фото);
• нестандартные digits=8 или period=60 часть приложений игнорирует и выдаёт коды, которые сервер не примет;
• секрет вставлен с пробелами: регистр Base32 не важен, а пробелы и символы вне A–Z, 2–7 ломают разбор.

Сам QR обычный: латиница, цифры и двоеточия — это байтовый режим кодирования, а строка на сотню символов даёт картинку средней плотности.

Частые вопросы