自社サービスにスマホアプリによる2段階認証を導入する - Qiita

目的 開発者が自社サービスに導入するときに知っておきたい情報がまとまってて欲しい 非エンジニアだけどサービス画面などを設計する人に説明するときの図が欲しい 概要 ユーザーにスマホアプリをインストールしてもらって、アプリが発行したトークンをワンタイムパスワード(以下OTP)として使用する フロー 編集 これでWebサーバーとユーザーのアプリで鍵(shared secret)が共有されます。 編集 生成されるトークンは30秒毎に変化する（時間は変更可能）。逆に言うと30秒間は何度計算しても同じトークンが生成される。サーバーとクライアントで同一時間帯に同一ロジックでトークンを生成することで同じトークンが生成されるので、これをOTPとして利用する。30秒毎の切り替えのタイミングで生成してしまうと認証に失敗するので再入力を簡単に行えるような画面設計がいいかも(Appleのデバイス認証みたいに各桁独立