OTP Pink — autenticador 2FA offline no navegador

Seus códigos de verificação em duas etapas no painel lateral do navegador, ao lado do site que os pede. O OTP Pink guarda as chaves criptografadas no seu computador, não faz requisições de rede e lê a chave direto da página de configuração do site. É gratuito.

Primeiros passos · Como ele é protegido

Nenhuma requisição de rede — confira em dois minutos

Não há servidor por trás da extensão: nada de conta, sincronização ou estatísticas de uso, nada carregado da internet. Você não precisa acreditar só na nossa palavra:

1. Abra o painel lateral, clique com o botão direito dentro dele e escolha Inspecionar, depois a aba Rede.
2. Para o segundo plano: chrome://extensions (ou edge://extensions) → Modo do desenvolvedor → OTP Pink → service worker → Rede.
3. Desbloqueie, adicione uma conta, encontre uma chave numa página, copie um código, exporte. A aba Rede mostra só os arquivos da própria extensão.

O manifesto diz o mesmo: nenhuma permissão de host, nenhum webRequest, nenhum script de conteúdo rodando em todos os sites e uma política de segurança de conteúdo com connect-src 'none'. Os passos para o Firefox e a lista completa do que a extensão pode fazer estão na página de segurança.

Essa promessa é sobre a extensão. O site que você está lendo conta as visitas sem cookies — o que ele registra está na página de privacidade.

Criptografado por padrão

O cofre é criptografado com uma chave derivada da sua senha, assim como os backups automáticos e o arquivo .pinkotp que você exporta. Nada sai sem criptografia antes de uma confirmação à parte: a exportação sem criptografia, um QR code na tela e a folha de recuperação impressa perguntam antes. O cofre se bloqueia sozinho depois do tempo de inatividade que você escolher e quando o navegador fecha.

A chave direto da página de configuração

Abra o painel na página de configuração de 2FA de um site: o OTP Pink procura o QR code, o link otpauth:// ou a chave escrita para digitação manual. Quando a página a esconde — num diálogo, num frame, numa imagem protegida —, você desenha um retângulo em volta do QR numa imagem da página. Um QR dentro de uma imagem, um link colado e uma chave digitada à mão também funcionam. Os métodos, em ordem, estão em adicionar contas.

Vindo de um app de celular que exporta QR codes? Veja como migrar do Google Authenticator.

Códigos TOTP (SHA-1, SHA-256, SHA-512), HOTP e Steam Guard. Testado com 5.000 contas num só cofre no Chromium, o motor do Chrome e do Edge; o Firefox ainda não foi medido.

Se você perder a senha — ou o navegador

A senha nunca é armazenada: se você a perder, o cofre não pode ser aberto, e não existe redefinição por e-mail porque não existe servidor. Garanta um caminho de volta antes de precisar dele: uma exportação .pinkotp com a senha dela ou uma folha de recuperação impressa.

Remover a extensão remove o cofre e os backups automáticos dele; só um arquivo exportado os traz de volta. O que salva você em cada caso está em backups.

O que ele não faz

• Não sincroniza entre dispositivos nesta versão: não há servidor por onde sincronizar.
• Não preenche automaticamente. Os códigos são copiados, não digitados nas páginas — digitá-los exigiria acesso a todos os sites.
• Não é um gerenciador de chaves de acesso (passkeys). Isso também exige um script em todos os sites, e o OTP Pink não tem acesso permanente a nenhum.
• Não tem app de celular. É uma extensão de navegador para Chrome, Edge e Firefox.

Antes de instalar

O Chrome mostra um único aviso: “Modificar os dados que você copia e cola” (Edge e Firefox ainda não foram verificados). Ele serve para apagar um código copiado da área de transferência depois do tempo que você escolher; o OTP Pink nunca lê a área de transferência. Não há o aviso “Ler e mudar seus dados em qualquer site” — a extensão não tem acesso permanente a nenhum site. Uma configuração opcional pede mais ao navegador quando você a ativa, e antes diz o quê. A página de segurança explica para que serve cada permissão.

Chrome e Edge 116 ou posterior, Firefox 142 ou posterior. A limpeza da área de transferência foi verificada só no Chrome. No Firefox, encontrar a chave pela barra lateral, os backups automáticos e o atalho de bloqueio ainda não foram verificados num navegador real. A interface segue o idioma do navegador: inglês, alemão, espanhol, francês, indonésio, japonês, português (Brasil), russo e ucraniano.

Feito pela 301.st.