TOTP kurulumunda hizmet, bir gizli anahtarı genellikle QR kod aracılığıyla kimlik doğrulama uygulamanıza aktarır. Sonrasında hem uygulama hem sunucu, aynı anahtar ve geçerli zaman dilimini kullanarak aynı kodu üretir. Kodlar çoğunlukla 6 hanelidir ve varsayılan süre 30 saniyedir.
Avantajları: Telefon şebekesine bağlı olmadığı için SIM değiştirme saldırılarından etkilenmez, çevrimdışı çalışır ve SMS'ten daha güvenlidir.
Sınırları: Kullanıcı kodu sahte bir siteye yazarsa saldırgan bu kodu anlık olarak gerçek sitede kullanabilir; bu nedenle TOTP oltalamaya tam dirençli değildir. Ayrıca kurulum QR kodu veya gizli anahtar ele geçirilirse kodlar kopyalanabilir.
Telefon değişikliğinde erişimi kaybetmemek için uygulamanın güvenli yedekleme veya aktarım özelliğini kullanın ve hizmetlerin verdiği kurtarma kodlarını saklayın.