2FA سیکرٹ کیا ہے؟ Base32، TOTP اور otpauth URI آسان الفاظ میں

Digital Account Market

5 اکتوبر، 2026 · آخری اپ ڈیٹ: 5 اکتوبر، 2026

2FA سیکرٹ حروف اور ہندسوں کی وہ مختصر اسٹرنگ ہے جسے آتھنٹیکیٹر ایپ اس چھ ہندسوں کے کوڈ میں بدلتی ہے جو آپ لاگ اِن پر ٹائپ کرتے ہیں۔ اگر آپ کے آرڈر کی ڈیلیوری میں یہ شامل ہے تو پاس ورڈ کے بعد یہ سطر کا سب سے اہم خانہ ہے، اور یہی وہ خانہ ہے جسے خریدار سب سے زیادہ غلط ٹائپ کرتے ہیں یا کسی اور چیز سے ملا دیتے ہیں۔ یہ رہنما بتاتا ہے کہ یہ اسٹرنگ کیا ہے، Base32 کیسا دکھتا ہے، اور سیکرٹ بیک اپ کوڈ اور QR کے مواد سے کیسے مختلف ہے۔

آپ یہ بھی سیکھیں گے کہ ڈیلیوری سطر میں سیکرٹ کو کیسے پہچانیں اور چند سیکنڈ میں کیسے یقین کریں کہ وہ کام کرتا ہے، تاکہ اپنی فائل کی کسی بھی اسٹرنگ کو دیکھ کر بتا سکیں کہ وہ سیکرٹ ہے، بیک اپ کوڈ ہے یا کچھ اور۔

2FA سیکرٹ کیا ہے اور یہ چھ ہندسوں کے کوڈ کیسے بناتا ہے

وقت پر مبنی ون ٹائم پاس ورڈ (TOTP، جس کی تعریف RFC 6238 میں ہے) دو اجزا سے بنتے ہیں: ایک مشترکہ سیکرٹ اور موجودہ وقت۔ جب 2FA سیٹ ہوتا ہے تو پلیٹ فارم سیکرٹ بناتا ہے اور اس کی ایک کاپی رکھتا ہے، جبکہ دوسری کاپی آپ کی آتھنٹیکیٹر ایپ میں رہتی ہے۔ ہر 30 سیکنڈ بعد دونوں فریق سیکرٹ اور گھڑی پر ایک ہی حساب لگاتے ہیں اور ایک ہی چھ ہندسوں پر پہنچتے ہیں۔

اس کے تین عملی نتائج ہیں:

سیکرٹ اکاؤنٹ کی دوسری چابی ہے۔ جب تک وہ 2FA سیٹ اپ فعال رہتا ہے، جس کے پاس بھی یہ ہو وہ کسی بھی ڈیوائس سے درست کوڈ بنا سکتا ہے۔
کوڈ کہیں محفوظ نہیں ہوتے۔ ہر کوڈ ہر 30 سیکنڈ میں دوبارہ حساب سے نکلتا ہے، اس لیے پرانے کوڈ کا اسکرین شاٹ بے کار ہے۔
گھڑی اہم ہے۔ اگر کوڈ بنانے والی ڈیوائس کا وقت حقیقی وقت سے ایک منٹ یا زیادہ آگے پیچھے ہو تو درست سیکرٹ سے بھی ایسے کوڈ بنتے ہیں جو مسترد ہو جاتے ہیں۔

Base32: حروف کیسے دکھتے ہیں اور ٹائپنگ کی عام غلطیاں

سیکرٹ Base32 میں لکھے جاتے ہیں، جو A سے Z تک کے 26 بڑے حروف اور 2 سے 7 تک کے ہندسوں سے بنی حروفِ تہجی ہے۔ پوری فہرست بس یہی ہے۔ ہندسے 0، 1، 8 اور 9 کبھی نہیں آتے، اور نہ ہی رموزِ اوقاف۔ ایک مثالی نمونہ (یہ کسی حقیقی اکاؤنٹ کی کلید نہیں ہے) یوں دکھتا ہے: JBSWY3DPEHPK3PXP۔ اصل سیکرٹ عموماً 16 سے 32 حروف کے ہوتے ہیں۔

چونکہ صرف 32 حروف درست ہیں، اس لیے زیادہ تر ٹائپنگ غلطیاں آسانی سے پکڑی جا سکتی ہیں:

سیکرٹ کے بیچ میں 0، 1 یا 8 کا مطلب ہے کہ کوئی حرف غلط پڑھا گیا۔ 0 عموماً حرف O ہوتا ہے، 1 عموماً حرف I یا L، اور 8 عموماً حرف B۔
چھوٹے حروف عموماً مسئلہ نہیں ہوتے، کیونکہ زیادہ تر ایپس انہیں بدل دیتی ہیں۔
آخر میں ایک یا زیادہ "=" کی علامتیں پیڈنگ (padding) ہیں۔ کئی ایپس سیکرٹ کو ان کے ساتھ اور ان کے بغیر، دونوں طرح قبول کرتی ہیں۔
نظر نہ آنے والی فالتو چیزیں، جیسے ٹیکسٹ فائل سے کاپی ہونے والی آخری خالی جگہ یا نئی سطر، اکثر "کلید غلط ہے" والے پیغام کا سبب بنتی ہیں۔

otpauth URI، QR کوڈ اور سادہ متن والی کلید

ایک ہی سیکرٹ آپ تک تین شکلوں میں پہنچ سکتا ہے، اور انہیں آپس میں ملانے سے بہت الجھن ہوتی ہے:

سادہ متن والی کلید۔ اکیلی Base32 اسٹرنگ۔ آتھنٹیکیٹر ایپس اسے سیٹ اپ کلید یا دستی اندراج کی کلید کہتی ہیں۔
QR کوڈ۔ ایک تصویر جس میں otpauth URI انکوڈ ہوتا ہے تاکہ فون اسے اسکین کر لے اور آپ کو کلید ٹائپ نہ کرنی پڑے۔
otpauth URI۔ متن کی ایک سطر، جیسے otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example۔ secret= کے بعد کی قدر Base32 کلید ہے۔ باقی حصے لیبل اور issuer، algorithm، digits اور period جیسی سیٹنگز ہیں۔

اگر آپ کے پاس صرف QR تصویر یا otpauth لنک ہے تو سیکرٹ وہ متن ہے جو secret= کے بعد اور اگلے & سے پہلے آتا ہے۔ معیاری سیٹ اپ SHA-1، چھ ہندسے اور 30 سیکنڈ کی مدت استعمال کرتے ہیں، اور جب آپ صرف سیکرٹ ٹائپ کرتے ہیں تو ایپ یہی ڈیفالٹ فرض کر لیتی ہے۔ QR کوڈ اسکین کرنے یا پورا URI امپورٹ کرنے پر اس میں موجود غیر ڈیفالٹ سیٹنگز بھی لاگو ہو جاتی ہیں۔

2FA سیکرٹ، بیک اپ کوڈ اور ریکوری ای میل

یہ تینوں چیزیں ایک ہی اکاؤنٹ کی حفاظت کرتی ہیں، لیکن ان کا کام بالکل مختلف ہے:

2FA سیکرٹ۔ طویل عرصے تک چلنے والی Base32 اسٹرنگ جو ہر 30 سیکنڈ میں نیا کوڈ بناتی ہے۔ یہ صرف تب بدلتی ہے جب 2FA ری سیٹ کیا جائے یا دوبارہ سیٹ ہو۔
بیک اپ کوڈ۔ ایک بار استعمال ہونے والے کوڈ، جو پلیٹ فارم اس دن کے لیے دے سکتا ہے جب آپ اپنے آتھنٹیکیٹر تک نہ پہنچ سکیں۔ ہر کوڈ صرف ایک بار چلتا ہے۔ یہ Base32 سیکرٹ نہیں ہیں، اس لیے آتھنٹیکیٹر ایپ یا TOTP ٹول انہیں استعمال نہیں کر سکتا۔
ریکوری ای میل۔ یہ ایک ان باکس ہے، کوڈ نہیں۔ اس میں لاگ اِن کی تصدیق اور ری سیٹ لنک آتے ہیں۔ ڈیلیوری سطر میں یہ ای میل ایڈریس کی صورت میں دکھتی ہے، اور عموماً اس کے بعد اسی میل باکس کا اپنا پاس ورڈ ہوتا ہے۔

سیکرٹ آپ کے روزانہ کے کوڈ بناتا ہے، بیک اپ کوڈ فالتو ٹائر ہیں، اور ریکوری ای میل وہ راستہ ہے جس سے کچھ اور ٹوٹنے پر آپ واپس اندر آ سکتے ہیں۔ اپنے ریکارڈ میں انہیں الگ الگ لیبل کریں۔

ڈیلیوری سطر میں سیکرٹ تلاش کرنا اور اسے ٹیسٹ کرنا

ڈیلیوری ایک TXT فائل کی صورت میں آتی ہے جس کی سطریں username:password:email:email_password:auth_token جیسی ہوتی ہیں، اور درست خانے زمرے کے مطابق بدلتے ہیں۔ جب کسی زمرے میں 2FA کلید شامل ہو تو وہ اس سطر میں ایک اور خانہ ہوتی ہے۔ مقامات آنکھیں بند کر کے نہ گنیں: زمرے کی تفصیل پڑھیں، پھر اسے اپنی فائل کی پہلی سطر سے ملائیں۔

آپ خانوں کو ان کی بناوٹ سے بھی پہچان سکتے ہیں:

سیکرٹ میں 16 یا اس سے زیادہ حروف ہوتے ہیں، یعنی بڑے حروف اور 2 سے 7 تک کے ہندسے، بغیر کسی رموزِ اوقاف کے۔
auth_token ایک لمبی ہیکساڈیسیمل اسٹرنگ ہے۔ یہ سیشن ٹوکن ہے، کوڈ جنریٹر نہیں، اور سیکرٹ کی جگہ نہیں لے سکتا۔ اس طریقے کے لیے auth token سے Twitter میں لاگ اِن دیکھیں۔
پاس ورڈ میں کولن ہو سکتا ہے، اسی لیے سطر کو بلا سوچے ":" پر توڑنے سے وہ کبھی کبھی بگڑ جاتی ہے۔

یہ جانچنے کے لیے کہ ہر سطر ایک ہی ڈھانچے میں ہے، ایک نمونہ فارمیٹ پہچاننے کا ٹول میں پیسٹ کریں۔ صرف وہ کالم نکالنے کے لیے جس میں سیکرٹ رکھے ہیں، ڈیلیمیٹر سے تقسیم کرنے والا ٹول استعمال کریں۔

پھر سیکرٹ کو سیکنڈوں میں ٹیسٹ کریں۔ مفت 2FA کوڈ جنریٹر کھولیں، سیکرٹ پیسٹ کریں، اور کاؤنٹ ڈاؤن کے ساتھ چھ ہندسوں کا کوڈ نظر آ جائے گا۔ اگر ٹول غلط سیکرٹ بتائے تو اوپر ٹائپنگ غلطیوں کی فہرست پر واپس جائیں۔ اگر کوڈ نظر آئے مگر لاگ اِن اسے مسترد کرے تو اپنی ڈیوائس کی گھڑی چیک کریں اور 2FA کوڈ کام نہ کرے تو کیا کریں پڑھ کر آگے بڑھیں۔

کئی اکاؤنٹس سنبھالتے وقت سیکرٹ کو محفوظ رکھنا

ایک ڈیلیوری سطر میں اکثر پاس ورڈ اور 2FA سیکرٹ ایک ساتھ ہوتے ہیں، اس لیے جو بھی فائل کھولتا ہے اس کے پاس دونوں فیکٹر آ جاتے ہیں۔ ہر خانے کو الگ الگ نہیں، پوری فائل کو محفوظ رکھیں:

فائل کو ایک نجی فولڈر میں رکھیں جس تک رسائی محدود ہو، اور چیٹ ایپس، مشترکہ دستاویزات یا اسکرین شاٹس سے بچیں۔
ڈیلیوری کے کچھ ہی دیر بعد ہر سیکرٹ ٹیسٹ کریں اور اکاؤنٹ کے ساتھ تاریخ لکھ لیں، تاکہ کوئی مسئلہ جلد سامنے آ جائے۔
ہر اسٹرنگ پر لیبل لگائیں کہ وہ کیا ہے، تاکہ ایک بار والا بیک اپ کوڈ کبھی آتھنٹیکیٹر ایپ میں نہ چلا جائے۔
کاپیاں گنتے رہیں۔ وہی سیکرٹ دوسری آتھنٹیکیٹر ایپ میں ڈالنا ایک مناسب بیک اپ ہے، لیکن ہر کاپی ایک اور جگہ ہے جہاں سے وہ لیک ہو سکتا ہے۔

وسیع تر منصوبے کے لیے ٹو فیکٹر آتھنٹیکیشن اور ریکوری کی منصوبہ بندی پڑھیں، اور لسٹنگ کی اصطلاحات کے لیے اکاؤنٹ لغت دیکھیں۔ جب آپ فون ویریفائیڈ پرانے اکاؤنٹس جیسے زمروں کا موازنہ کریں تو تفصیل پڑھ کر دیکھیں کہ ڈیلیوری فائل میں کیا کیا ہوتا ہے۔ اگر آپ 2FA کلید پر انحصار کرتے ہیں تو آرڈر سے پہلے اس کی تصدیق کر لیں یا Telegram پر سپورٹ سے پوچھ لیں۔

اکثر پوچھے جانے والے سوالات

2FA سیکرٹ کیسا دکھتا ہے؟

یہ A سے Z تک کے بڑے حروف اور 2 سے 7 تک کے ہندسوں کی ایک اسٹرنگ ہے، جو عموماً 16 سے 32 حروف کی ہوتی ہے، جیسے دستاویزات کی مثالوں میں JBSWY3DPEHPK3PXP۔ کچھ پلیٹ فارم اسے اسپیس یا ڈیش سے الگ کیے گئے گروپس میں دکھاتے ہیں۔

کیا 2FA سیکرٹ اور بیک اپ کوڈ ایک ہی چیز ہیں؟

نہیں۔ سیکرٹ اس وقت تک ہر 30 سیکنڈ میں نیا کوڈ بناتا ہے جب تک وہ 2FA سیٹ اپ فعال ہے۔ بیک اپ کوڈ ایک بار استعمال ہونے والا کوڈ ہے، جو صرف ایک بار چلتا ہے اور آتھنٹیکیٹر ایپ میں استعمال نہیں ہو سکتا۔

کیا میں QR کوڈ کو سیکرٹ میں بدل سکتا ہوں؟

جی ہاں۔ سیٹ اپ QR کوڈ میں otpauth URI انکوڈ ہوتا ہے، اور اس متن میں secret= کے بعد کی قدر ہی سیکرٹ ہے۔ اس متن کو نجی رکھیں، کیونکہ وہ کلید جتنا ہی حساس ہے۔

کچھ سیکرٹ میں اسپیس یا ڈیش کیوں ہوتے ہیں؟

یہ وقفہ صرف پڑھنے کی سہولت کے لیے ہے، اکثر چار چار حروف کے گروپس میں۔ اگر کوئی ایپ کلید مسترد کرے تو اسپیس اور ڈیش ہٹا دیں؛ مفت 2FA کوڈ جنریٹر انہیں جوں کا توں قبول کر لیتا ہے۔

کیا ایک ہی سیکرٹ ایک وقت میں دو ایپس میں استعمال ہو سکتا ہے؟

جی ہاں۔ جس بھی ایپ یا ڈیوائس میں وہی سیکرٹ ہو اور گھڑی درست ہو، وہ وہی کوڈ دکھاتی ہے۔ بیک اپ کے طور پر یہ کام آتا ہے، لیکن ہر کاپی ایک اور جگہ ہے جہاں سیکرٹ ظاہر ہو سکتا ہے۔