方法和密码长度。RFC 3548也同时鼓励K密钥以base-32编码输入（或以QR码的形式提供）。一旦参数协商完毕，密码开始按照如下方法生成：服务器与客户端都会计算密码，但是由服务器来检查客户端提供的密码是否匹配服务器本地生成的密码。考虑到轻微的时钟偏移、网络延迟或用户延误等情况，有些服务器允许接受本应该在早先已生成或稍后才生成的密码。
弱点和缺陷.尽管攻击者需要实时代管凭证，而不能之后收集，但是TOTP代号跟密码一样可能被钓鱼。不限制登录尝试的TOTP实现容易被暴力破解