En detalle
Un código TOTP se calcula aplicando HMAC a un contador que es la hora Unix actual dividida por la duración del paso (normalmente 30 segundos), con una clave secreta compartida una sola vez al escanear un código QR. Las apps autenticadoras y el sitio web ejecutan el mismo cálculo, así que no hace falta que viaje ningún mensaje entre ellos. El método está normalizado en el RFC 6238 y es una variante basada en el tiempo de HOTP.
Por qué importa
TOTP es el segundo paso más común de la Autenticación multifactor (MFA). Protege una cuenta aunque la contraseña se filtre, porque el atacante también necesita un código de tu dispositivo. Como los códigos dependen del reloj, un dispositivo con la hora incorrecta producirá códigos que el servidor rechaza.
Ejemplo
Con el secreto de prueba del RFC 12345678901234567890, el código de 8 dígitos en el segundo 59 es 94287082, así que el de 6 dígitos es 287082. Puedes reproducirlo con el generador TOTP.
Confusión habitual
TOTP no es lo mismo que un código por SMS. Un código SMS se te envía por la red telefónica, mientras que un código TOTP se calcula localmente. Ninguno resiste el phishing como lo hace una llave de seguridad de hardware.