OTP
Установить · Chrome

OTP Pink — офлайн-аутентификатор 2FA для браузера

Коды двухфакторной аутентификации — в боковой панели браузера, рядом с сайтом, который их запрашивает. OTP Pink хранит ключи зашифрованными на вашем компьютере, не делает сетевых запросов и читает ключ прямо со страницы настройки 2FA. Расширение бесплатное.

С чего начать · Как устроена защита

Ни одного сетевого запроса — проверка за две минуты

За расширением нет сервера: ни аккаунта, ни синхронизации, ни аналитики, ничего не загружается из сети. Верить на слово не нужно:

  1. Откройте боковую панель, щёлкните внутри неё правой кнопкой мыши и выберите Просмотреть код, затем вкладку Сеть.
  2. Для фоновой части: chrome://extensions (или edge://extensions) → Режим разработчика → OTP Pink → service worker → Сеть.
  3. Разблокируйте хранилище, добавьте аккаунт, найдите ключ на странице, скопируйте код, сделайте экспорт. Во вкладке «Сеть» будут только собственные файлы расширения.

Манифест говорит то же самое: нет доступа к сайтам (host permissions), нет webRequest, нет скриптов контента (content scripts), которые работают на каждом сайте, а политика безопасности контента задаёт connect-src 'none'. Шаги для Firefox и полный список того, что расширению разрешено, — на странице о безопасности.

Это обещание касается расширения. Сайт, который вы читаете, считает посещения без cookie — что именно он записывает, сказано на странице о приватности.

Зашифровано по умолчанию

Хранилище зашифровано ключом из вашего пароля — как и автоматические бэкапы, и файл .pinkotp, который вы экспортируете. Ничего не уходит в открытом виде без отдельного подтверждения: экспорт без шифрования, QR-код на экране и печать листа восстановления сначала запрашивают подтверждение. Хранилище блокируется само после выбранного вами времени без действий и при закрытии браузера.

Ключ прямо со страницы настройки

Откройте панель на странице настройки 2FA: OTP Pink ищет QR-код, ссылку otpauth:// или ключ, выписанный для ручного ввода. Если страница его прячет — в диалоге, во фрейме, в защищённой картинке, — обведите QR рамкой на снимке страницы. Работают и QR на картинке, и вставленная ссылка, и ключ, введённый вручную. Все способы по порядку — в разделе добавление аккаунтов.

Переезжаете с приложения на телефоне, которое экспортирует QR-коды? Смотрите переезд с Google Authenticator.

Коды TOTP (SHA-1, SHA-256, SHA-512), HOTP и Steam Guard. Проверено на 5 000 аккаунтов в одном хранилище в Chromium — движке Chrome и Edge; Firefox пока не измерялся.

Если потерян пароль — или браузер

Пароль нигде не хранится: если вы его потеряете, хранилище не открыть, а сброса по почте нет, потому что нет сервера. Заранее позаботьтесь о том, как вернуть доступ: экспорт .pinkotp вместе с его паролем или распечатанный лист восстановления.

Удаление расширения удаляет хранилище и его автоматические бэкапы; вернуть их может только экспортированный файл. Что выручит в каждом случае — в разделе бэкапы.

Чего оно не делает

Перед установкой

Chrome показывает одно предупреждение: «Изменение копируемых и вставляемых данных» (в Edge и Firefox это ещё предстоит проверить). Оно нужно, чтобы убрать скопированный код из буфера обмена через выбранное вами время; сам буфер OTP Pink никогда не читает. Предупреждения «Просмотр и изменение ваших данных на всех сайтах» нет: у расширения нет постоянного доступа ни к одному сайту. Одна необязательная настройка при включении просит у браузера больше и сначала объясняет, что именно. Для чего нужно каждое разрешение — на странице о безопасности.

Chrome и Edge версии 116 и новее, Firefox 142 и новее. Очистка буфера обмена проверена только в Chrome. В Firefox поиск ключа из боковой панели, автоматические бэкапы и сочетание клавиш для блокировки ещё предстоит проверить в настоящем браузере. Интерфейс говорит на языке браузера: английский, немецкий, испанский, французский, индонезийский, японский, бразильский португальский, русский и украинский.

Сделано в 301.st.