Comparador TOTP vs HOTP

Os códigos de seis dígitos do aplicativo autenticador saem de um algoritmo bem simples: HMAC-SHA1 de um segredo compartilhado com um contador, truncado para virar número. O que separa HOTP de TOTP é só o que entra nesse contador. No HOTP ele é um número inteiro que avança a cada uso. No TOTP ele é o relógio: o horário Unix dividido pelo tamanho da janela, normalmente 30 segundos.

Essa diferença muda tudo na operação. O HOTP precisa que cliente e servidor mantenham a mesma contagem, e um token físico apertado no bolso sai de sincronia — daí a janela de look-ahead, em que o servidor testa os próximos códigos, e o procedimento de ressincronização depois de muitas falhas. O TOTP não tem esse problema porque ninguém precisa contar: os dois lados olham o relógio. Em troca, ele passa a depender do relógio estar certo.

A página mostra a tabela comparativa e, nos outros dois modos, o passo a passo da derivação de cada um — o truncamento dinâmico que pega o offset do último nibble do HMAC, a máscara de 0x7F no primeiro byte e o módulo por dez elevado ao número de dígitos. É material de referência: não gera código nem valida segredo, serve para entender o que a sua biblioteca de 2FA está fazendo por baixo.