2FA सीक्रेट क्या है? Base32, TOTP और otpauth URI आसान भाषा में

Digital Account Market

5 अक्टूबर 2026 · आखिरी अपडेट: 5 अक्टूबर 2026

2FA सीक्रेट अक्षरों और अंकों की वह छोटी स्ट्रिंग है, जिसे ऑथेंटिकेटर ऐप उस छह अंकों के कोड में बदलता है जो आप लॉगिन पर डालते हैं। अगर आपके ऑर्डर की डिलीवरी में यह शामिल है, तो पासवर्ड के बाद यह पंक्ति का सबसे ज़रूरी फ़ील्ड है, और साथ ही वही फ़ील्ड है जिसे खरीदार सबसे ज़्यादा गलत टाइप करते हैं या किसी और चीज़ से मिला देते हैं। यह गाइड बताती है कि यह स्ट्रिंग क्या है, Base32 कैसा दिखता है, और सीक्रेट बैकअप कोड और QR के कंटेंट से कैसे अलग है।

आप यह भी सीखेंगे कि डिलीवरी पंक्ति में सीक्रेट कैसे पहचानें और कुछ ही सेकंड में कैसे पक्का करें कि वह काम करता है, ताकि अपनी फ़ाइल की किसी भी स्ट्रिंग को देखकर बता सकें कि वह सीक्रेट है, बैकअप कोड है या कुछ और।

2FA सीक्रेट क्या है और यह छह अंकों के कोड कैसे बनाता है

समय पर आधारित वन-टाइम पासवर्ड (TOTP, जिसकी परिभाषा RFC 6238 में है) दो चीज़ों से बनते हैं: एक साझा सीक्रेट और मौजूदा समय। जब 2FA सेट होता है, तो प्लेटफ़ॉर्म सीक्रेट बनाकर उसकी एक कॉपी रखता है और दूसरी कॉपी आपके ऑथेंटिकेटर ऐप में रहती है। हर 30 सेकंड में दोनों पक्ष सीक्रेट और घड़ी पर एक ही गणना करते हैं और एक ही छह अंकों पर पहुँचते हैं।

इसके तीन व्यावहारिक नतीजे हैं:

सीक्रेट अकाउंट की दूसरी चाबी है। जब तक वह 2FA सेटअप चालू है, जिसके पास भी यह है वह किसी भी डिवाइस से वैध कोड बना सकता है।
कोड कहीं स्टोर नहीं होते। हर कोड हर 30 सेकंड में दोबारा निकाला जाता है, इसलिए पुराने कोड का स्क्रीनशॉट किसी काम का नहीं।
घड़ी मायने रखती है। अगर कोड बनाने वाला डिवाइस असली समय से एक मिनट या उससे ज़्यादा आगे-पीछे है, तो सही सीक्रेट से भी बने कोड अस्वीकार हो जाते हैं।

Base32: अक्षर कैसे दिखते हैं और आम टाइपिंग गलतियाँ

सीक्रेट Base32 में लिखे जाते हैं, जो A से Z तक के 26 बड़े अक्षरों और 2 से 7 तक के अंकों से बनी वर्णमाला है। पूरी वर्णमाला बस यही है। अंक 0, 1, 8 और 9 कभी नहीं आते, और न ही विराम चिह्न। एक उदाहरण (यह किसी असली अकाउंट की कुंजी नहीं है) ऐसा दिखता है: JBSWY3DPEHPK3PXP। असली सीक्रेट आम तौर पर 16 से 32 अक्षरों के होते हैं।

क्योंकि केवल 32 अक्षर मान्य हैं, इसलिए ज़्यादातर टाइपिंग गलतियाँ आसानी से पकड़ में आ जाती हैं:

सीक्रेट के बीच में 0, 1 या 8 का मतलब है कि कोई अक्षर गलत पढ़ा गया। 0 आम तौर पर अक्षर O होता है, 1 आम तौर पर अक्षर I या L, और 8 आम तौर पर अक्षर B।
छोटे अक्षर आम तौर पर ठीक रहते हैं, क्योंकि ज़्यादातर ऐप उन्हें बदल देते हैं।
अंत में एक या अधिक "=" चिह्न पैडिंग (padding) हैं। कई ऐप सीक्रेट को इनके साथ और इनके बिना, दोनों तरह स्वीकार करते हैं।
अदृश्य अतिरिक्त चीज़ें, जैसे टेक्स्ट फ़ाइल से कॉपी हुआ अंत का खाली स्थान या नई पंक्ति, अक्सर "अमान्य कुंजी" वाले संदेश की वजह बनती हैं।

otpauth URI, QR कोड और सादे टेक्स्ट वाली कुंजी

वही सीक्रेट आप तक तीन रूपों में पहुँच सकता है, और इन्हें आपस में मिलाने से बहुत उलझन होती है:

सादे टेक्स्ट वाली कुंजी। अकेली Base32 स्ट्रिंग। ऑथेंटिकेटर ऐप इसे सेटअप कुंजी या मैन्युअल एंट्री कुंजी कहते हैं।
QR कोड। एक तस्वीर जिसमें otpauth URI एन्कोड होता है, ताकि फ़ोन उसे स्कैन कर ले और आपको कुंजी टाइप न करनी पड़े।
otpauth URI। टेक्स्ट की एक पंक्ति, जैसे otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example। secret= के बाद का मान Base32 कुंजी है। बाकी हिस्से लेबल और issuer, algorithm, digits व period जैसी सेटिंग हैं।

अगर आपके पास केवल QR इमेज या otpauth लिंक है, तो सीक्रेट वह टेक्स्ट है जो secret= के बाद और अगले & से पहले आता है। मानक सेटअप SHA-1, छह अंक और 30 सेकंड की अवधि इस्तेमाल करते हैं, और जब आप केवल सीक्रेट टाइप करते हैं तो ऐप यही डिफ़ॉल्ट मान लेता है। QR कोड स्कैन करने या पूरा URI इम्पोर्ट करने पर उसमें मौजूद गैर-डिफ़ॉल्ट सेटिंग भी लागू हो जाती हैं।

2FA सीक्रेट, बैकअप कोड और रिकवरी ईमेल

ये तीनों चीज़ें एक ही अकाउंट की सुरक्षा करती हैं, लेकिन इनका काम बिल्कुल अलग है:

2FA सीक्रेट। लंबे समय तक चलने वाली Base32 स्ट्रिंग जो हर 30 सेकंड में नया कोड बनाती है। यह तभी बदलती है जब 2FA रीसेट या दोबारा सेट किया जाए।
बैकअप कोड। एक बार इस्तेमाल होने वाले कोड, जो प्लेटफ़ॉर्म उस दिन के लिए दे सकता है जब आप अपने ऑथेंटिकेटर तक नहीं पहुँच पाते। हर कोड सिर्फ़ एक बार चलता है। ये Base32 सीक्रेट नहीं हैं, इसलिए ऑथेंटिकेटर ऐप या TOTP टूल इन्हें इस्तेमाल नहीं कर सकता।
रिकवरी ईमेल। यह एक इनबॉक्स है, कोड नहीं। इसमें लॉगिन की पुष्टि और रीसेट लिंक आते हैं। डिलीवरी पंक्ति में यह ईमेल पते के रूप में दिखता है, और आम तौर पर उसके बाद उसी मेलबॉक्स का अपना पासवर्ड होता है।

सीक्रेट आपके रोज़ के कोड बनाता है, बैकअप कोड स्टेपनी हैं, और रिकवरी ईमेल वह रास्ता है जिससे कुछ और टूटने पर आप वापस अंदर आ सकते हैं। अपने रिकॉर्ड में इन्हें अलग-अलग लेबल करें।

डिलीवरी पंक्ति में सीक्रेट ढूँढना और उसे टेस्ट करना

डिलीवरी एक TXT फ़ाइल के रूप में आती है जिसकी पंक्तियाँ username:password:email:email_password:auth_token जैसी होती हैं, और सटीक फ़ील्ड श्रेणी के अनुसार बदलते हैं। जब किसी श्रेणी में 2FA कुंजी शामिल होती है, तो वह उस पंक्ति में एक और फ़ील्ड होती है। स्थान आँख बंद करके मत गिनिए: श्रेणी का विवरण पढ़िए, फिर उसे अपनी फ़ाइल की पहली पंक्ति से मिलाइए।

आप फ़ील्ड को उनकी बनावट से भी पहचान सकते हैं:

सीक्रेट में 16 या उससे ज़्यादा अक्षर होते हैं, यानी बड़े अक्षर और 2 से 7 तक के अंक, बिना किसी विराम चिह्न के।
auth_token एक लंबी हेक्साडेसिमल स्ट्रिंग है। यह सेशन टोकन है, कोड जनरेटर नहीं, और यह सीक्रेट की जगह नहीं ले सकता। इस तरीके के लिए auth token से Twitter में लॉगिन देखें।
पासवर्ड में कोलन हो सकता है, इसीलिए पंक्ति को बिना सोचे ":" पर तोड़ने से वह कभी-कभी बिगड़ जाती है।

यह जाँचने के लिए कि हर पंक्ति एक ही ढाँचे में है, एक नमूना प्रारूप पहचानने वाला टूल में पेस्ट करें। सिर्फ़ वही कॉलम निकालने के लिए जिसमें सीक्रेट रखे हैं, विभाजक से बाँटने वाला टूल इस्तेमाल करें।

फिर सीक्रेट को सेकंडों में टेस्ट करें। मुफ़्त 2FA कोड जनरेटर खोलिए, सीक्रेट पेस्ट कीजिए, और काउंटडाउन के साथ छह अंकों का कोड दिख जाएगा। अगर टूल अमान्य सीक्रेट बताए, तो ऊपर की टाइपिंग गलतियों की सूची पर लौटिए। अगर कोड दिखे पर लॉगिन उसे अस्वीकार करे, तो अपने डिवाइस की घड़ी जाँचिए और 2FA कोड काम न करे तो क्या करें पढ़कर आगे बढ़िए।

कई अकाउंट सँभालते समय सीक्रेट को सुरक्षित रखना

एक डिलीवरी पंक्ति में अक्सर पासवर्ड और 2FA सीक्रेट एक साथ होते हैं, इसलिए जो भी फ़ाइल खोलता है उसके पास दोनों फ़ैक्टर आ जाते हैं। हर फ़ील्ड को अलग-अलग नहीं, पूरी फ़ाइल को सुरक्षित रखिए:

फ़ाइल को एक निजी फ़ोल्डर में रखें जिसकी पहुँच सीमित हो, और चैट ऐप, साझा दस्तावेज़ या स्क्रीनशॉट से बचें।
डिलीवरी के कुछ ही समय बाद हर सीक्रेट टेस्ट करें और अकाउंट के आगे तारीख़ लिख लें, ताकि कोई दिक्कत जल्दी सामने आ जाए।
हर स्ट्रिंग पर लेबल लगाएँ कि वह क्या है, ताकि एक बार वाला बैकअप कोड कभी ऑथेंटिकेटर ऐप में न चला जाए।
कॉपियाँ गिनते रहें। वही सीक्रेट दूसरे ऑथेंटिकेटर ऐप में डालना एक ठीक-ठाक बैकअप है, लेकिन हर कॉपी एक और जगह है जहाँ से वह लीक हो सकता है।

बड़ी योजना के लिए टू-फ़ैक्टर ऑथेंटिकेशन और रिकवरी की योजना पढ़िए, और लिस्टिंग की शब्दावली के लिए अकाउंट शब्दकोश देखिए। जब आप फ़ोन वेरिफ़ाइड पुराने अकाउंट जैसी श्रेणियों की तुलना करें, तो विवरण पढ़कर देखें कि डिलीवरी फ़ाइल में क्या-क्या होता है। अगर आप 2FA कुंजी पर निर्भर हैं, तो ऑर्डर से पहले इसकी पुष्टि कर लें या Telegram पर सपोर्ट से पूछ लें।

अक्सर पूछे जाने वाले प्रश्न

2FA सीक्रेट कैसा दिखता है?

यह A से Z तक के बड़े अक्षरों और 2 से 7 तक के अंकों की एक स्ट्रिंग है, जो आम तौर पर 16 से 32 अक्षरों की होती है, जैसे दस्तावेज़ों के उदाहरणों में JBSWY3DPEHPK3PXP। कुछ प्लेटफ़ॉर्म इसे स्पेस या डैश से अलग किए समूहों में दिखाते हैं।

क्या 2FA सीक्रेट और बैकअप कोड एक ही चीज़ हैं?

नहीं। सीक्रेट तब तक हर 30 सेकंड में नया कोड बनाता है जब तक वह 2FA सेटअप चालू है। बैकअप कोड एक बार इस्तेमाल होने वाला कोड है, जो सिर्फ़ एक बार चलता है और ऑथेंटिकेटर ऐप में इस्तेमाल नहीं हो सकता।

क्या मैं QR कोड को सीक्रेट में बदल सकता हूँ?

हाँ। सेटअप QR कोड में otpauth URI एन्कोड होता है, और उस टेक्स्ट में secret= के बाद का मान ही सीक्रेट है। उस टेक्स्ट को निजी रखिए, क्योंकि वह कुंजी जितना ही संवेदनशील है।

कुछ सीक्रेट में स्पेस या डैश क्यों होते हैं?

यह अंतर सिर्फ़ पढ़ने की सुविधा के लिए है, अक्सर चार-चार अक्षरों के समूहों में। अगर कोई ऐप कुंजी अस्वीकार करे, तो स्पेस और डैश हटा दें; मुफ़्त 2FA कोड जनरेटर इन्हें जैसा है वैसा ही स्वीकार कर लेता है।

क्या एक ही सीक्रेट एक साथ दो ऐप में इस्तेमाल हो सकता है?

हाँ। जिस भी ऐप या डिवाइस में वही सीक्रेट हो और घड़ी सही हो, वह वही कोड दिखाता है। बैकअप के तौर पर यह काम आता है, लेकिन हर कॉपी एक और जगह है जहाँ सीक्रेट उजागर हो सकता है।