Le mot de passe est saisi deux fois, ce qui crée deux facteurs indépendants.

Le code remplace le mot de passe, de sorte qu’une seule preuve est vérifiée.

Le nom d’utilisateur public devient le deuxième facteur secret.

Un mot de passe valide ne suffit plus; la connexion exige également un code dérivé d’un secret distinct protégé.