La Password monouso basata sul tempo (TOTP, Time-based One-Time Password) è un codice di autenticazione multifattore che cambia a intervalli brevi e fissi, di solito ogni 30 secondi. Viene generato a partire da un segreto condiviso e dall'ora corrente, quindi il codice di accesso è valido solo per poco tempo e non può essere riutilizzato in seguito.
Il TOTP è importante perché aggiunge una seconda barriera dopo la password, rendendo le credenziali rubate molto meno utili. Negli attacchi reali, gli avversari possono cercare di sottrarre con il phishing un codice valido in tempo reale, di dirottare una sessione o di abusare dell'accesso al dispositivo o all'app che genera il token. Per questo i difensori spesso ruotano i segreti TOTP o reimpostano i token dopo un sospetto compromesso, soprattutto quando un sistema perimetrale o un gateway di accesso remoto potrebbe aver esposto le sessioni degli utenti. Il TOTP è efficace contro il semplice furto della password, ma non è una soluzione magica: se un attaccante può intercettare un accesso in tempo reale o controllare il flusso di autenticazione, il codice monouso può comunque essere aggirato.