2FASync
TOTP é uma senha de uso temporário baseada no tempo
Em vez de receber um código novo pela internet a cada login, um autenticador gera o resultado a partir de uma chave secreta e do relógio.
O que acontece quando você ativa o segundo fator
O site que oferece TOTP apresenta um QR code ou uma chave secreta. O autenticador lê essa configuração uma vez; depois, consegue calcular o mesmo código esperado pelo site durante cada intervalo.
Um período comum é de 30 segundos. Se o usuário copiar o código quando faltam dois segundos, ele pode expirar antes de ser digitado.
Por que a chave merece mais cuidado que o número
O código de seis ou oito dígitos muda, mas a chave secreta continua válida enquanto o serviço não a substituir. Alguém que fotografa o QR de configuração pode replicar esse segundo fator.
Por isso, evite colar a configuração em buscadores e pedidos de suporte. Se houver vazamento, reconfigure a verificação no serviço de origem, seguindo suas regras de segurança.
O relógio e o perfil precisam combinar
Um celular com horário manual errado pode produzir um resultado de outro intervalo. Antes de apagar um autenticador que parece falhar, sincronize data e hora e confira a conta selecionada.
Nem todo segundo fator é TOTP: apps oficiais, SMS, aprovações por toque e chaves físicas podem usar mecanismos diferentes.
TOTP funciona mesmo sem conexão com a internet?
O cálculo do código pode ocorrer localmente, desde que a configuração TOTP e o horário estejam corretos; o serviço externo ainda exige sua própria conexão para validar o login.