En détail
Le HOTP, défini dans la RFC 4226, calcule un HMAC d'un compteur de 8 octets, prélève quatre octets du résultat selon une règle appelée troncature dynamique et conserve les six ou huit derniers chiffres décimaux. Le serveur et le jeton gardent le compteur synchronisé. Les jetons matériels qui génèrent un code à l'appui d'un bouton utilisent couramment le HOTP, et le TOTP est la même idée avec le compteur remplacé par l'heure.
Pourquoi c'est important
Comme le compteur n'avance que lorsqu'un code est utilisé, un jeton et un serveur peuvent se désynchroniser si l'on appuie souvent sur le bouton sans se connecter. Les serveurs acceptent donc les codes dans une petite fenêtre en avance puis se resynchronisent. Un code reste valable jusqu'à son utilisation, et non pendant un nombre fixe de secondes, ce qui est la principale différence pratique avec le TOTP.
Exemple
Avec le secret de test de la RFC 12345678901234567890, les compteurs 0, 1 et 2 donnent les codes 755224, 287082 et 359152.
Confusion fréquente
HOTP et TOTP sont souvent confondus car ils paraissent identiques à l'utilisateur. La différence tient à ce qui fait changer le code : un compteur pour le HOTP, l'horloge pour le TOTP.