TOTP 两步验证码配置 - 把手机变成 2FA 令牌

什么是 TOTP

TOTP（Time-based One-Time Password，RFC 6238 标准）是目前主流网站账户两步验证（2FA）最常用的验证码类型。工作原理：

1. 网站给你一个密钥（Secret Key，通过二维码展示）
2. 你的设备用密钥 + 当前时间 → 算出一个 6 位数字码
3. 登录时网站验证这个码是否匹配
4. 码每 30 秒自动刷新一次

Google Authenticator、Microsoft Authenticator、Authy 等 2FA App 都是 TOTP 实现。KeePassDX 把这个功能直接集成进了密码管理器——你不再需要单独装一个 2FA App。

配置步骤

第一步：在目标网站开启 2FA

以 Google 账户为例（流程对所有网站大同小异）：

1. 目标网站 → 设置 → 安全 → 两步验证
2. 选择"身份验证器"作为第二步
3. 网站显示一个二维码和一个备用密钥（纯文本）

第二步：把密钥存入 KeePassDX

KeePassDX 有两种接收 TOTP 密钥的方式：

方式 A：从二维码应用共享（推荐）

KeePassDX 没有内置二维码扫描器（这是故意的设计——把扫码职责交给专门的扫码应用）。流程：

1. 用手机的二维码扫描器 App 扫网站显示的二维码
2. 扫码结果是一个 otpauth://totp/... 格式的链接
3. 点击"分享" → 选择 KeePassDX
4. KeePassDX 自动进入"保存模式"
5. 选择对应的条目（或新建一个）
6. KeePassDX 自动把 TOTP 参数填入条目字段
7. 保存

方式 B：手动输入参数

如果扫码不方便，也可以在 KeePassDX 条目里手动添加 OTP 字段：

1. 编辑条目
2. 点击"+ 添加 OTP"按钮
3. 输入参数：

• 密钥（Secret）：网站显示的纯文本密钥
• 算法：默认 SHA-1（大多数网站用这个）
• 周期：默认 30 秒
• 位数：默认 6 位

1. KeePassDX 实时预览验证码
2. 确认无误后保存

第三步：使用

配置好后，KeePassDX 会：

• 在条目列表里显示当前验证码和倒计时
• 点击数字可以直接复制到剪贴板
• Magikeyboard 和自动填充会自动显示并填充验证码
• 通知栏（如果开启）显示当前账户的验证码

安全注意事项

密钥 ≠ 密码

网站给你的 TOTP 密钥不是密码，它是生成验证码的种子。所以：

• 可以把密钥和网站密码存在同一个 KeePassDX 条目里（通常没问题）
• 但如果想更安全，Google 的安全文档建议密钥和密码分存（放在不同数据库）
• 对于个人用户，同条目存储完全够用

不要丢密钥

网站开启 2FA 时一定要备份备用验证码。如果手机丢了或 KeePassDX 数据库损坏，没有备用码就再也登不上账户了。

时间同步

TOTP 依赖精确时间。如果手机系统时间不准，验证码会和网站计算的不一致。确保手机开启"自动设置时间"。