OTP Pink — authentificateur 2FA hors ligne pour navigateur

Vos codes de double authentification dans le panneau latéral du navigateur, à côté du site qui les demande. OTP Pink garde les clés chiffrées sur votre ordinateur, n’effectue aucune requête réseau et lit la clé directement sur la page de configuration du site. Il est gratuit.

Premiers pas · Comment il est protégé

Aucune requête réseau : vérifiez-le en deux minutes

Il n’y a pas de serveur derrière l’extension : ni compte, ni synchronisation, ni mesure d’audience, rien n’est chargé depuis Internet. Inutile de nous croire sur parole :

1. Ouvrez le panneau latéral, faites un clic droit à l’intérieur et choisissez Inspecter, puis l’onglet Réseau.
2. Pour l’arrière-plan : chrome://extensions (ou edge://extensions) → Mode développeur → OTP Pink → service worker → Réseau.
3. Déverrouillez, ajoutez un compte, trouvez une clé sur une page, copiez un code, exportez. L’onglet Réseau ne montre que les fichiers de l’extension elle-même.

Le manifeste dit la même chose : aucune autorisation d’hôte, pas de webRequest, aucun script de contenu qui tourne sur chaque site, et une politique de sécurité du contenu avec connect-src 'none'. Les étapes pour Firefox et la liste complète de ce que l’extension peut faire sont sur la page sécurité.

Cette promesse concerne l’extension. Le site que vous lisez compte ses visites sans cookies — ce qu’il enregistre est décrit sur la page confidentialité.

Chiffré par défaut

Le coffre-fort est chiffré avec une clé dérivée de votre mot de passe, tout comme les sauvegardes automatiques et le fichier .pinkotp que vous exportez. Rien ne sort en clair sans une confirmation distincte : un export non chiffré, un code QR à l’écran ou une feuille de récupération imprimée demandent d’abord votre accord. Le coffre-fort se verrouille de lui-même après le délai d’inactivité que vous choisissez et à la fermeture du navigateur.

La clé directement sur la page de configuration

Ouvrez le panneau sur la page de configuration 2FA d’un site : OTP Pink cherche le code QR, le lien otpauth:// ou la clé écrite pour une saisie manuelle. Quand la page la cache — dans une boîte de dialogue, une iframe, une image protégée —, vous tracez un cadre autour du QR sur une image de la page. Un QR dans une image, un lien collé et une clé tapée à la main fonctionnent aussi. Les méthodes, dans l’ordre, sont dans ajouter des comptes.

Vous venez d’une appli mobile qui exporte des codes QR ? Voir passer de Google Authenticator.

Codes TOTP (SHA-1, SHA-256, SHA-512), HOTP et Steam Guard. Testé avec 5 000 comptes dans un seul coffre-fort sous Chromium, le moteur de Chrome et d’Edge ; Firefox n’a pas encore été mesuré.

Si vous perdez le mot de passe — ou le navigateur

Le mot de passe n’est jamais stocké : si vous le perdez, le coffre-fort ne peut pas être ouvert, et il n’y a pas de réinitialisation par e-mail, faute de serveur. Prévoyez un chemin de retour avant d’en avoir besoin : un export .pinkotp avec son mot de passe, ou une feuille de récupération imprimée.

Supprimer l’extension supprime le coffre-fort et ses sauvegardes automatiques ; seul un fichier exporté les ramène. Ce qui vous sauve dans chaque cas est décrit dans sauvegardes.

Ce qu’il ne fait pas

• Pas de synchronisation entre appareils dans cette version : il n’y a pas de serveur par où synchroniser.
• Pas de saisie automatique. Les codes sont copiés, pas tapés dans les pages — les taper exigerait un accès à chaque site.
• Pas un gestionnaire de clés d’accès (passkeys). Cela aussi exige un script sur chaque site, et OTP Pink n’a d’accès permanent à aucun.
• Pas d’appli mobile. C’est une extension de navigateur pour Chrome, Edge et Firefox.

Avant d’installer

Chrome affiche un seul avertissement : « Modifier les données que vous copiez-collez » (Edge et Firefox restent à vérifier). Il sert à effacer un code copié du presse-papiers après le délai que vous choisissez ; OTP Pink ne lit jamais le presse-papiers. Pas de « Lire et modifier toutes vos données sur tous les sites Web » : l’extension n’a d’accès permanent à aucun site. Un réglage facultatif demande davantage au navigateur quand vous l’activez, et précise d’abord ce qu’il demande. Le rôle de chaque autorisation est expliqué sur la page sécurité.

Chrome et Edge 116 ou plus récent, Firefox 142 ou plus récent. L’effacement du presse-papiers n’est vérifié que dans Chrome. Dans Firefox, la recherche de la clé depuis la barre latérale, les sauvegardes automatiques et le raccourci de verrouillage restent à vérifier dans un vrai navigateur. L’interface suit la langue du navigateur : anglais, allemand, espagnol, français, indonésien, japonais, portugais brésilien, russe et ukrainien.

Conçu par 301.st.