TOTP
Time-based One-Time Password (RFC 6238): un codice a 6 cifre generato da un segreto condiviso e dall'ora corrente (finestra di 30 secondi).
Si basa su HOTP: HMAC-SHA1(segreto, floor(unix_time / 30)), troncato a 6 cifre. Il segreto si condivide con un QR code che codifica otpauth://totp/...?secret=.... Funziona offline: basta che l'orologio del telefono sia sincronizzato con il server.
Meglio dell'SMS come secondo fattore (SIM swap), peggio di passkey e FIDO2 (è soggetto a phishing: si può indurre l'utente a digitare il codice su un sito falso). Alla base di Google Authenticator, Authy, 1Password e Bitwarden. Il metodo 2FA predefinito finché le passkey non prenderanno il suo posto.