TOTP — це одноразовий пароль із часовим вікном

Час визначає, які цифри актуальні

Поширений варіант використовує шість цифр і оновлення кожні 30 секунд. Конкретний сайт може застосовувати інший підтримуваний профіль. Коли відлік завершується, попередній код може вже не пройти перевірку.

Зберігайте секрет, а не лише поточний код

Значення на екрані скоро втратить чинність. Натомість ключ із QR-налаштування дозволяє створювати наступні коди, тож його не слід надсилати в чати або залишати у відкритих нотатках.

Другий чинник має власні обмеження

TOTP ускладнює вхід тому, хто знає тільки пароль. Проте шахрайський сайт може перехопити щойно введений код і передати його справжньому сервісу. Завжди перевіряйте адресу сторінки входу.

Чому сайту не потрібно щоразу надсилати новий код

Під час початкового налаштування сайт і застосунок отримують спільний секрет. Далі вони незалежно застосовують до нього алгоритм і поточний часовий проміжок. Коли годинники узгоджені, значення збігаються, а сервер може перевірити цифри без передачі секрету під час кожного входу. Поширені шість цифр із 30-секундним інтервалом є прикладом, але налаштування конкретного сервісу можуть відрізнятися.

Саме тому невірний час на комп’ютері або використання коду іншого облікового запису призводять до відмови. Із короткого коду неможливо просто відновити втрачений ключ, а фото початкового QR може розкрити його сторонній людині. Зберігайте аварійні коди, які видає вихідний сайт, і не плутайте їх з окремим ключем відновлення сховища 2FASync.

Чи треба отримувати TOTP в SMS?

Ні. TOTP обчислюється з секрету та часу. SMS-код є іншим способом одноразового підтвердження.