Почему аутентификатору не нужно ждать SMS

При настройке согласуется общий секрет

Сайт показывает ключ, часто в виде QR. Приложение сохраняет его вместе с требуемыми параметрами: алгоритмом, длиной кода и временем действия. Если сканировать чужой QR, получатся коды для другого секрета.

Время превращается в меняющийся код

С каждым интервалом вычисляется новое значение. Сайт повторяет расчёт со своей стороны и сравнивает результат. Если системные часы устройства существенно отстают или спешат, код может быть отклонён.

Сохранённая цифра не восстановит секрет

Записать код в блокнот недостаточно: через несколько секунд он станет бесполезен. Для переноса на новый телефон нужны подготовленная резервная копия, экспорт настройки или новая привязка TOTP у соответствующего сервиса.

Как отличить две одинаково подписанные записи

В одном сервисе можно иметь личный аккаунт и отдельную рабочую учётную запись. Они могут показывать шестизначные значения, меняющиеся в одну и ту же секунду, но используют разные секретные ключи. Данные QR при настройке могут включать имя сервиса, адрес пользователя и дополнительные параметры. Проверьте именно их, прежде чем выбирать запись для входа или считать её дублем после миграции.

Проверку кода выполняет исходный сайт. 2FASync не отправляет вместо пользователя цифры в его форму входа и не меняет правила допуска. Если код отвергнут, безопаснее сначала сверить часы, название учётной записи и время до обновления, а уже затем разбираться с секретом и алгоритмом. Стирание старого работающего приложения без проверенного нового доступа может привести к потере аккаунта.

Почему у двух моих аккаунтов разный TOTP в одно время?

При настройке каждый может получить отдельный общий секрет. Сверьте точную запись аккаунта, а не только название сервиса или время смены числа.