2fa/

Sim, elas se perdem. As chaves ficam apenas no localStorage do navegador atual, então você não as verá depois de trocar de navegador ou de computador nem depois de limpar os dados do site, e uma janela anônima as apaga ao ser fechada. Depois de adicionar uma chave, clique logo em "Exportar backup" para baixar o arquivo 2fa-backup-data.json; no novo ambiente, clique em "Importar" e escolha esse arquivo para restaurar.

Não são enviadas, mas também não são criptografadas. A página não faz nenhuma requisição que envie uma chave a algum lugar, e os códigos são calculados no seu navegador. Porém, as chaves ficam no localStorage em texto simples, e o arquivo de backup exportado também é texto simples, então qualquer pessoa que use este navegador ou tenha o arquivo de backup pode lê-las. Não use em computador compartilhado e, para contas importantes, como exchanges e carteiras, prefira um app autenticador no celular.

A chave precisa estar em Base32: só as letras A-Z e os dígitos 2-7, com no mínimo 8 caracteres. Espaços, hifens e sinais de igual são removidos e as minúsculas viram maiúsculas, então uma chave escrita em grupos de quatro caracteres pode ser colada do jeito que está. Um 0, 1, 8, 9 ou qualquer outro símbolo geralmente indica um caractere copiado errado, por exemplo a letra O copiada como o dígito 0. Um link iniciado por otpauth://totp/ fornecido pelo site também pode ser colado no mesmo campo.

Verifique primeiro o relógio do computador e depois os parâmetros. O código muda a cada 30 segundos com base na hora atual do dispositivo, então um relógio impreciso faz o código não bater; ative o ajuste automático de hora. Ao digitar uma chave manualmente, são usados os padrões de 6 dígitos, 30 segundos e SHA1; se o site usar outras configurações, cole o link otpauth:// que ele fornece ou importe um JSON com esses parâmetros.

Nenhum dos dois. Esta página não lê QR codes e precisa da chave em texto: muitos sites oferecem uma opção como "Não consegue escanear o QR code?" durante a configuração, e ela mostra a chave Base32. O QR code gerado por "Exportar contas" no Google Authenticator usa outro formato, que começa com otpauth-migration://, e esta página não o reconhece; seria preciso recuperar as chaves com outra ferramenta antes, ou configurar cada site de novo.

Aceita o JSON de backup exportado por este site, links otpauth:// um por linha e texto com uma linha "rótulo chave" por entrada; um arquivo .json ou .txt (até 1 MB) pode ser arrastado direto para a janela de importação. Entradas com a mesma chave são ignoradas automaticamente e, ao terminar, a importação informa quantas foram adicionadas, além de quantas eram duplicadas ou não puderam ser lidas.

Sim, mas os parâmetros precisam entrar por um link otpauth:// ou por um JSON de backup. Os códigos podem ter de 6 a 8 dígitos, o período pode ser de 1 a 300 segundos e o algoritmo pode ser SHA1, SHA256 ou SHA512. Só há suporte para TOTP, baseado em tempo, e não para HOTP, baseado em contador; colar um link otpauth://hotp/ mostra uma mensagem dizendo que só TOTP é suportado.