2FA 验证码是你在输入密码之后需要补充的第二个凭据，用来证明登录的人手里有你注册时绑定的那个东西。它主要有两种来源：身份验证器 App 按时间算出来的一次性密码（TOTP），以及平台通过短信或语音下发到你手机号的一次性验证码。两者都是一次有效、短时间过期，区别在于前者离线生成、后者依赖你能继续收到那个号码的短信。
2FA 验证码的两种来源
身份验证器生成的 TOTP
TOTP 的原理是：绑定时平台给你一个密钥（就是那个二维码里的内容），此后 App 用「密钥 + 当前时间」算出一串数字，通常是 6 位，每 30 秒换一次。密钥只在绑定那一刻传输，之后 App 完全离线运行，所以飞行模式下 Google Authenticator 一样能出码。
这也意味着两件事：密钥丢了就再也算不出码；设备时钟偏差过大时算出来的码平台不认，即使你抄写没错。
平台下发的短信验证码
短信路线不需要你保存任何东西，平台把 4 到 8 位数字发到号码上，你填进去就行。代价是这个第二凭据的所有权其实在号码上：号码停用、被回收、或者线路类型被平台判定为不可信，账号的恢复通道就断了。
怎么获取 2FA 验证码
绑定身份验证器 App
- 在平台的安全设置里选择「身份验证器 App」类型的二次验证。
- 用 App 扫描页面上的二维码。扫不了的时候点「无法扫描」，页面会给出一串 Base32 文本密钥，手动输入到 App 里。
- App 立刻显示一个 6 位码，把它填回页面完成绑定。这一步是平台校验你的密钥抄对了。
- 保存平台同时给出的一次性备份码。这是密钥之外唯一的自救手段，别只截图放在同一台手机里。
通过短信获取
短信路线的关键在号码本身。不少平台在发送之前会查询号码的线路类型，被标记为 VoIP 的号码常常直接不发，你会看到「一直收不到验证码」的现象，实际上平台根本没有发。关于线路类型是怎么判定的，可以看 实卡接码是什么。
用 VoidMob 的实卡号码接收 2FA 验证码有三种方式：
- 一次性验证码：美国号码，号码激活 15 分钟，窗口内没有收到码会自动取消并全额退款，同一号码在窗口内重复接收不额外收费。账号默认最多 5 个并发的活跃租用。
- 短期租用：同样是美国号码，可选 3、7、14 或 30 天，期间号码始终在线并自动接收短信，可以开自动续费。
- 专属月付号码：非 VoIP 运营商号码，续费期间只归你使用，按国家提供，美国 19.99 美元、英国 16.99 美元、印尼 21.99 美元、香港 24.99 美元、意大利 29.99 美元、澳大利亚 32.99 美元、德国 44.99 美元每月。
别用一次性号码绑定长期 2FA
一次性验证码的号码在 15 分钟窗口结束后会回收。如果你用它开启了短信二次验证，下次登录、换设备或找回密码时，验证码会发到一个你已经拿不回来的号码上，账号就锁死了。短信 2FA 只应该绑在你能长期持有的号码上，也就是租用期内的号码或 专属月付号码。
在线 TOTP 生成器能不能用
搜索结果里有一批「在线 2FA 验证码生成器」，它们做的事就是把你粘贴进去的密钥在网页上算成 6 位数字。用来临时验证一个密钥是否抄写正确、或者手机不在身边应急，功能上没问题。
但不要把长期账号的密钥留在这类网站上。密钥等价于永久的第二凭据，一旦离开你的设备，谁拿到它都能持续算出有效码，而且平台看不出差别。稳妥的做法是密钥只进本地 App 或密码管理器，备份码单独离线保存。
各平台的 2FA 设置在哪里
在 Google 账号的「安全性」页面里找两步验证。可用方式包括身份验证器 App、通行密钥、Google 提示以及短信。海外号码验证的实际流程见 Google 手机验证。备份码在同一页面生成，是一组一次性代码，用过即失效。
X（Twitter）
进入设置里的「安全和账号访问」，然后是「安全」和「双重验证」。三种方式：短信、身份验证器 App、安全密钥。注意 X 曾把短信双重验证限制为付费订阅用户，你的账号能选哪几项以设置页面当前显示的选项为准。已开启身份验证器后，登录时的码在你自己的 App 里，不会有短信送达，很多人找不到码就是因为这一点。
Telegram
Telegram 的登录码优先发到已登录的其他设备，只有在没有其他设备时才发短信。二次验证在「隐私和安全」里设置为云密码，同时建议填恢复邮箱。收不到登录码时的排查顺序见 Telegram 收不到验证码，号码相关的注册与长期验证见 Telegram 接码。
WhatsApp 的两步验证在「设置 → 账号」里开启，会要你设置一个自行选择的凭据，具体形式和长度以 App 内当前提示为准。真正决定账号存活的仍然是注册号码：换机重装时会先向号码发验证码，号码不在手上就走不下去。
常见失败模式
- 码显示无效，但你确定没输错。 先看设备时间是否为自动同步。TOTP 依赖时钟，手动改过时间或时区错乱都会让码对不上。
- 短信迟迟不到。 大概率是线路类型被判为 VoIP，或者这个号码此前被大量账号使用过。换实卡号码，不要在同一个免费号码上反复重试。
- 换手机后所有码都没了。 身份验证器换机需要提前迁移或重新绑定，光把 App 装回来不会恢复密钥。备份码就是为这一刻准备的。
- 注册国家和登录网络对不上。 用英国号码注册的账号，长期从完全不同的地区登录，平台可能追加验证步骤。需要固定出口位置时，用 移动代理 IP 保持登录环境一致，这些 IP 段登记在移动运营商网络下。
- 同一个号码承担太多账号的 2FA。 号码一旦出问题，所有绑在上面的账号同时失去恢复通道。重要账号分号码。
一次性还是专属号码：怎么选
| 场景 | 一次性验证码 | 专属月付号码 |
|---|---|---|
| 使用期限 | 激活后 15 分钟 | 续费期间持续持有 |
| 可选地区 | 美国号码 | 美国、英国、印尼、香港、意大利、澳大利亚、德国 |
| 适合 | 只需注册一次、之后不用短信 2FA | 开启短信二次验证、需要密码找回 |
| 收不到码 | 自动取消并全额退款 | 号码常驻，短信可在控制台查看 |
| 并发 | 默认最多 5 个活跃租用 | 号码固定归你 |
判断规则很简单：这个账号以后是否还需要收短信。只注册一次、后续用身份验证器做 2FA，一次性验证码够了。只要短信是你的二次验证或找回方式，就从一开始用能长期持有的号码，比如 美国手机号 或 英国手机号。
2FA 验证码是什么？
它是密码之外的第二个一次性凭据，用来证明登录者持有你绑定的身份验证器或手机号。常见形式是身份验证器 App 每 30 秒刷新的 6 位 TOTP，以及平台发到号码上的短信验证码。
如何获取谷歌身份验证器的验证码？
在 Google 账号的安全性页面开启两步验证并选择身份验证器 App，用 App 扫描二维码或手动输入页面给出的文本密钥，绑定完成后 App 会持续显示当前有效的 6 位码，离线也能生成。
在 Twitter 上验证码在哪里可以找到？
取决于你开启的方式。选身份验证器 App 时，码在你自己的 App 里，不会有短信；选短信时会发到账号绑定的号码。设置位置是「安全和账号访问 → 安全 → 双重验证」。
在线 2FA 验证码生成器安全吗？
用来临时核对一个密钥是否抄写正确可以，但不要把长期账号的密钥留在网页工具上。密钥等于永久的第二凭据，泄露后对方能一直算出有效码。
用一次性号码开启短信 2FA 会怎样？
号码在 15 分钟窗口后回收，之后所有验证码都会发到你拿不回来的号码上，等于失去登录和找回通道。需要短信 2FA 就用租用期内的号码或专属月付号码。
给需要长期 2FA 的账号配一个自己的号码
海外实卡号码，一次性验证码 15 分钟内无码自动退款，专属月付号码在续费期间只归你使用，收到的短信都能在控制台查看。