Mot de passe à usage unique basé sur le temps (TOTP)

Le TOTP est un mécanisme de second facteur très répandu : l'application d'authentification de l'utilisateur (Google Authenticator, Authy, 1Password) et le serveur partagent une même graine symétrique et calculent le même hachage HMAC-SHA1 sur le temps Unix courant divisé en fenêtres de 30 secondes. Le code visible de 6 à 8 chiffres change automatiquement et n'est valide que brièvement, ce qui limite la valeur d'un code observé ou hameçonné. Le TOTP fonctionne hors ligne une fois la graine provisionnée, généralement via un QR code. Ses principales faiblesses sont les proxys d'hameçonnage en temps réel (AiTM) qui relaient les codes, les logiciels malveillants sur l'appareil et la compromission de la graine côté serveur ; lorsque c'est possible, on privilégie FIDO2 et les passkeys.