Random 6-digit number

O código de 6 dígitos que chega por SMS no seu celular antes de confirmar uma transação bancária tem uma história mais rica do que parece. O conceito de senha descartável de uso único — OTP, do inglês One-Time Password — ganhou forma prática em 1986, quando a RSA Security lançou o SecurID: um pequeno dispositivo físico que gerava um número de 6 dígitos novo a cada 60 segundos, sincronizado com um servidor por algoritmo de relógio. Corporações e bancos pagavam fortunas por aqueles tokens físicos. A democratização veio em 2010, quando o Google lançou o Authenticator e tornou o TOTP (Time-based One-Time Password, padronizado na RFC 6238 em 2011) acessível a qualquer smartphone.

Por que especificamente 6 dígitos? O padrão não é arbitrário. Com 6 dígitos você tem 1.000.000 de combinações possíveis — suficientemente alto para que um ataque de força bruta em tempo real seja inviável (o servidor costuma bloquear após 3 a 5 tentativas), mas suficientemente curto para que um humano consiga digitá-lo rapidamente sem erros. O NIST, no seu guia de identidade digital SP 800-63, reconhece esse equilíbrio. O mesmo raciocínio se aplica a códigos enviados por SMS em sistemas de verificação de cadastro: 6 dígitos viraram o comprimento-padrão da internet para confirmação de identidade temporária.

Esta ferramenta gera lotes de números de 6 dígitos — com zero à esquerda preservado — para testes de formulários, validadores de OTP, mocks de API e qualquer cenário onde você precisa de dados realistas sem comprometer números reais de usuários. Uso muito isso quando estou desenvolvendo um fluxo de autenticação de dois fatores e preciso de dezenas de códigos para saturar o campo de input e verificar se o front-end rejeita corretamente entradas com mais ou menos dígitos do que o esperado.

The 6-digit code that arrives by SMS before you confirm a bank transfer has a richer history than it seems. The concept of a single-use one-time password — OTP — took practical form in 1986, when RSA Security launched the SecurID: a small physical device that generated a new 6-digit number every 60 seconds, synchronized with a server using a clock-based algorithm. Corporations and banks paid small fortunes for those hardware tokens. Democratization came in 2010 when Google launched Authenticator, making TOTP (Time-based One-Time Password, standardized in RFC 6238 in 2011) available to any smartphone.

Why specifically 6 digits? The standard is not arbitrary. With 6 digits you have 1,000,000 possible combinations — high enough to make a real-time brute-force attack infeasible (servers typically block after 3 to 5 attempts), yet short enough for a human to type quickly without errors. NIST's digital identity guideline SP 800-63 acknowledges this balance. The same logic applies to SMS codes in account verification flows: 6 digits became the internet's default length for temporary identity confirmation.

This tool generates batches of 6-digit numbers — with leading zeros preserved — for form testing, OTP validators, API mocks, and any scenario where you need realistic data without compromising real user numbers. I rely on it heavily when building two-factor authentication flows and need dozens of codes to flood the input field and verify that the front end properly rejects entries shorter or longer than expected.

El código de 6 dígitos que llega por SMS antes de confirmar una transferencia bancaria tiene una historia más rica de lo que parece. El concepto de contraseña de un solo uso — OTP, del inglés One-Time Password — tomó forma práctica en 1986, cuando RSA Security lanzó el SecurID: un pequeño dispositivo físico que generaba un nuevo número de 6 dígitos cada 60 segundos, sincronizado con un servidor mediante un algoritmo de reloj. Corporaciones y bancos pagaban fortunas por esos tokens físicos. La democratización llegó en 2010, cuando Google lanzó Authenticator e hizo accesible el TOTP (Time-based One-Time Password, estandarizado en la RFC 6238 en 2011) para cualquier smartphone.

¿Por qué exactamente 6 dígitos? El estándar no es arbitrario. Con 6 dígitos hay 1.000.000 de combinaciones posibles — suficientemente alto para que un ataque de fuerza bruta en tiempo real sea inviable (los servidores suelen bloquear tras 3 a 5 intentos), pero suficientemente corto para que una persona pueda escribirlo rápidamente sin errores. La guía de identidad digital del NIST, SP 800-63, reconoce ese equilibrio. La misma lógica se aplica a los códigos enviados por SMS en los flujos de verificación de cuenta: 6 dígitos se convirtieron en la longitud estándar de internet para la confirmación de identidad temporal.

Esta herramienta genera lotes de números de 6 dígitos — con el cero inicial preservado — para pruebas de formularios, validadores de OTP, mocks de API y cualquier escenario donde se necesiten datos realistas sin comprometer números reales de usuarios. Lo uso mucho cuando desarrollo flujos de autenticación de dos factores y necesito decenas de códigos para saturar el campo de entrada y verificar que el front-end rechaza correctamente entradas con más o menos dígitos de los esperados.