Les codes à deux facteurs changent toutes les 30 secondes, et la connexion n’acceptait que le code de la seconde exacte où il arrivait. Un code lu juste avant le changement, ou une horloge de serveur décalée de quelques secondes, était refusé comme s’il était faux. La connexion accepte maintenant aussi le code précédent et le suivant, ce qui est la tolérance habituelle d’une application d’authentification. Les tentatives échouées sont aussi correctement enregistrées, y compris l’écart d’un code refusé, pour distinguer facilement une horloge vraiment fausse d’un code vraiment faux. Les nouvelles configurations à deux facteurs utilisent un secret plus court, de taille standard, que toutes les applications d’authentification lisent de la même façon ; les configurations existantes ne changent pas.
Les codes à deux facteurs n’échouent plus pour quelques secondes
La connexion accepte désormais le code juste avant et juste après le code actuel, si bien qu’un téléphone et un serveur légèrement décalés restent d’accord.