什麼是 TOTP？
TOTP 是根據共享密鑰和當前時間計算短時有效驗證碼的基于時間的一次性密碼算法。
英文全稱、縮寫與常見別名
- 英文全稱： Time-based One-Time Password
- 縮寫： TOTP
- 常見別名： Authenticator code、Time-based OTP、基于時間的一次性密碼、身份驗證器動態碼
TOTP 如何工作？
身份驗證器與伺服器為同一時間步計算基于 HMAC 的數值，常見周期為 30 秒；伺服器允許很小的時間偏差并防止驗證碼重放。
一個具體例子
身份驗證器 App 與服務在設置時共享密鑰，登錄時雙方獨立計算當前 30 秒區間的同一個六位驗證碼。
TOTP 與相關概念有什麼區別？
TOTP 完成注冊后不依賴消息投遞；簡訊驗證 通過電話網絡發送驗證碼，而 OTP 是更廣泛的一次性密碼類別。
使用場景、優勢與風險
常見場景包括注冊、帳號恢復、交易確認和多因素驗證。它可以證明使用者控制某個渠道或密鑰，但仍有攔截、號碼回收、釣魚、恢復流程薄弱和依賴單一因素等風險。
TOTP 與 DuoPlus 有什麼關係？
使用者可以在獲授權的 DuoPlus 雲手機中安裝驗證器 App 來產生 TOTP，但 TOTP 基於共用金鑰和裝置時間離線計算，不依賴 DuoPlus 雲號碼或簡訊。驗證器的種子金鑰、QR Code 和恢復碼都屬於敏感憑證，應限制存取並在獨立安全位置備份。
常見問題
雲手機時間不準會影響 TOTP 嗎？
會。TOTP 需要裝置與伺服器的時間大致同步；驗證碼連續失效時，應先檢查雲手機的自動時間和時區設定，而不是重新掃描金鑰。
一鍵新機或遷移雲手機前要注意什麼？
先確認驗證器已按服務規則安全遷移，並在獨立位置保存恢復碼。若只把 TOTP 金鑰留在將被重設的雲手機中，可能永久失去帳號存取權限。
