TOTP
Zamana dayalı tek kullanımlık parola (RFC 6238) — ortak bir sırdan ve geçerli andan üretilen, 30 saniye geçerli 6 haneli kod.
HOTP’nin üzerine kurulur: HMAC-SHA1(sır, floor(unix_zamanı / 30)), 6 haneye kısaltılır. Sır, otpauth://totp/...?secret=... içeren bir QR kodla paylaşılır. Çevrimdışı çalışır; telefonun saatinin sunucuyla uyumlu olması yeter.
SMS ile 2FA’dan iyidir (SIM değiştirme saldırısı), parolasız anahtarlardan/FIDO2’den zayıftır (oltalanabilir: kullanıcıyı sahte bir sitede kodu yazmaya kandırabilirsiniz). Google Authenticator, Authy, 1Password ve Bitwarden bununla çalışır. Passkey devralana kadar varsayılan 2FA yöntemi.