Token sprzętowy
Fizyczne urządzenie wymagane do zalogowania — klucz USB/NFC, karta inteligentna, token RSA.
Odporny na phishing: klucz podpisuje tylko dla właściwej domeny, więc fałszywe strony nic nie dostają. YubiKey, Google Titan, Feitian. Standard FIDO2/WebAuthn. Bezpieczniejszy niż SMS, aplikacja z kodami jednorazowymi czy powiadomienia push. Wymagany od administratorów w firmach dbających o bezpieczeństwo.