OTP Pink — офлайн-автентифікатор 2FA для браузера

Коди двофакторної автентифікації — на бічній панелі браузера, поруч із сайтом, який їх запитує. OTP Pink зберігає ключі зашифрованими на вашому комп’ютері, не робить мережевих запитів і читає ключ просто зі сторінки налаштування 2FA. Розширення безкоштовне.

З чого почати · Як влаштований захист

Жодного мережевого запиту — перевірка за дві хвилини

За розширенням немає сервера: ні акаунта, ні синхронізації, ні аналітики, нічого не завантажується з мережі. Вірити на слово не потрібно:

Відкрийте бічну панель, клацніть усередині неї правою кнопкою миші й виберіть Перевірити, потім вкладку Мережа.
Для фонової частини: chrome://extensions (або edge://extensions) → Режим розробника → OTP Pink → Синтаксис Service Worker → Мережа.
Розблокуйте сховище, додайте акаунт, знайдіть ключ на сторінці, скопіюйте код, зробіть експорт. На вкладці «Мережа» будуть лише власні файли розширення.

Маніфест каже те саме: немає доступу до сайтів (host permissions), немає webRequest, немає скриптів вмісту (content scripts), що працюють на кожному сайті, а політика безпеки вмісту задає connect-src 'none'. Кроки для Firefox і повний перелік того, що розширенню дозволено, — на сторінці про безпеку.

Ця обіцянка стосується розширення. Сайт, який ви читаєте, рахує відвідування без cookie — що саме він записує, сказано на сторінці про приватність.

Зашифровано за замовчуванням

Сховище зашифровано ключем із вашого пароля — як і автоматичні бекапи, і файл .pinkotp, який ви експортуєте. Ніщо не виходить у відкритому вигляді без окремого підтвердження: експорт без шифрування, QR-код на екрані й друк аркуша відновлення спершу просять підтвердження. Сховище блокується автоматично після вибраного вами часу без дій і коли ви закриваєте браузер.

Ключ прямо зі сторінки налаштування

Відкрийте панель на сторінці налаштування 2FA: OTP Pink шукає QR-код, посилання otpauth:// або ключ, виписаний для ручного введення. Якщо сторінка його ховає — у діалозі, у фреймі, у захищеному зображенні, — обведіть QR рамкою на знімку сторінки. Працюють і QR на зображенні, і вставлене посилання, і ключ, введений вручну. Усі способи по порядку — у розділі додавання акаунтів.

Переходите із застосунку на телефоні, який експортує QR-коди? Дивіться перехід із Google Authenticator.

Коди TOTP (SHA-1, SHA-256, SHA-512), HOTP і Steam Guard. Перевірено на 5 000 акаунтів в одному сховищі в Chromium — рушії Chrome та Edge; Firefox поки не вимірювали.

Якщо втрачено пароль — або браузер

Пароль ніде не зберігається: якщо ви його втратите, сховище не відкрити, а скидання поштою немає, бо немає сервера. Заздалегідь подбайте, як повернути доступ: експорт .pinkotp разом із його паролем або роздрукований аркуш відновлення.

Видалення розширення видаляє сховище і його автоматичні бекапи; повернути їх може лише експортований файл. Що врятує в кожному випадку — у розділі бекапи.

Чого воно не робить

Немає синхронізації між пристроями в цій версії: синхронізуватися немає через що — сервера немає.
Немає автозаповнення. Коди копіюються, а не вписуються в сторінки: щоб вписувати їх, потрібен був би доступ до кожного сайту.
Не провайдер ключів доступу (passkeys). Для цього теж потрібен скрипт на кожному сайті, а в OTP Pink немає постійного доступу до жодного.
Немає застосунку для телефона. Це розширення для Chrome, Edge і Firefox.

Перед встановленням

Chrome показує одне попередження: «Змінювати дані, які копіюються» (в Edge і Firefox це ще належить перевірити). Воно потрібне, щоб прибрати скопійований код із буфера обміну через вибраний вами час; сам буфер OTP Pink ніколи не читає. Попередження «Читати та змінювати всі ваші дані на всіх веб-сайтах» немає: розширення не має постійного доступу до жодного сайту. Одне необов’язкове налаштування під час увімкнення просить у браузера більше й спершу пояснює, що саме. Для чого потрібен кожен дозвіл — на сторінці про безпеку.

Chrome і Edge версії 116 і новіші, Firefox 142 і новіший. Очищення буфера обміну перевірено лише в Chrome. У Firefox пошук ключа з бічної панелі, автоматичні бекапи й сполучення клавіш для блокування ще належить перевірити в справжньому браузері. Інтерфейс говорить мовою браузера: англійська, німецька, іспанська, французька, індонезійська, японська, португальська (Бразилія), російська і українська.

Зроблено в 301.st.