2FA 驗證碼是你在輸入密碼之後需要補充的第二個登入憑證，用來證明登入的人手裡有你註冊時綁定的那個東西。它主要有兩種來源：身份驗證器 App 按時間算出來的一次性密碼（TOTP），以及平台透過簡訊或語音傳送到你手機號碼的一次性驗證碼。兩者都是一次有效、短時間過期，區別在於前者離線產生、後者依賴你能繼續收到那個號碼的簡訊。
2FA 驗證碼的兩種來源
身份驗證器產生的 TOTP
TOTP 的原理是：綁定時平台給你一個金鑰（就是那個 QR Code 裡的內容），此後 App 用「金鑰 + 目前時間」算出一串數字，通常是 6 位，每 30 秒換一次。金鑰只在綁定那一刻傳輸，之後 App 完全離線執行，所以飛航模式下 Google Authenticator 一樣能出碼。
這也意味著兩件事：金鑰丟了就再也算不出碼；裝置時鐘偏差過大時算出來的碼平台不認，即使你抄寫沒錯。
平台傳送的簡訊驗證碼
簡訊路線不需要你儲存任何東西，平台把 4 到 8 位數字發到號碼上，你填進去就行。代價是這個第二登入憑證的所有權其實在號碼上：號碼停用、被回收、或者線路類型被平台判定為不可信，帳號的復原管道就斷了。
怎麼取得 2FA 驗證碼
綁定身份驗證器 App
- 在平台的安全設定裡選擇「身份驗證器 App」類型的二次驗證。
- 用 App 掃描頁面上的 QR Code。掃不了的時候點「無法掃描」，頁面會給出一串 Base32 文字金鑰，手動輸入到 App 裡。
- App 立刻顯示一個 6 位碼，把它填回頁面完成綁定。這一步是平台驗證你的金鑰抄對了。
- 儲存平台同時給出的一次性備份碼。這是金鑰之外唯一的自救手段，別只截圖放在同一臺手機裡。
透過簡訊取得
簡訊路線的關鍵在號碼本身。不少平台在傳送之前會查詢號碼的線路類型，被標記為 VoIP 的號碼常常直接不發，你會看到「一直收不到驗證碼」的現象，實際上平台根本沒有發。關於線路類型是怎麼判定的，可以看 實卡接碼是什麼。
用 VoidMob 的實卡號碼接收 2FA 驗證碼有三種方式：
- 一次性驗證碼：美國號碼，號碼啟用 15 分鐘，有效時間內沒有收到碼會自動取消並全額退款，同一號碼在有效時間內重複接收不額外收費。每個帳號同時進行中的租用預設最多 5 個。
- 短期租用：同樣是美國號碼，可選 3、7、14 或 30 天，期間號碼始終保持上線並自動接收簡訊，可以開自動續訂。
- 專屬月付號碼：非 VoIP 電信業者號碼，續訂期間只歸你使用，按國家提供，美國 19.99 美元、英國 16.99 美元、印尼 21.99 美元、香港 24.99 美元、義大利 29.99 美元、澳洲 32.99 美元、德國 44.99 美元每月。
別用一次性號碼綁定長期 2FA
一次性驗證碼的號碼在 15 分鐘有效時間結束後會回收。如果你用它開啟了簡訊二次驗證，下次登入、換裝置或重設密碼時，驗證碼會發到一個你已經拿不回來的號碼上，帳號就鎖死了。簡訊 2FA 只應該綁在你能長期持有的號碼上，也就是租用期內的號碼或 專屬月付號碼。
線上 TOTP 產生器能不能用
搜尋結果裡有一批「線上 2FA 驗證碼產生器」，它們做的事就是把你貼上進去的金鑰在網頁上算成 6 位數字。用來臨時驗證一個金鑰是否抄寫正確、或者手機不在身邊應急，功能上沒問題。
但不要把長期帳號的金鑰留在這類網站上。金鑰等價於永久的第二登入憑證，一旦離開你的裝置，誰拿到它都能持續算出有效碼，而且平台看不出差別。穩妥的做法是金鑰只進本地 App 或密碼管理器，備份碼單獨離線儲存。
各平台的 2FA 設定在哪裡
在 Google 帳號的「安全性」頁面裡找兩步驟驗證。可用方式包括身份驗證器 App、通行金鑰、Google 提示以及簡訊。海外號碼驗證的實際流程見 Google 手機驗證。備份碼在同一頁面產生，是一組一次性備用驗證碼，用過即失效。
X（Twitter）
進入設定裡的「安全性與帳戶存取權」，然後是「安全」和「雙重驗證」。三種方式：簡訊、身份驗證器 App、安全金鑰。注意 X 曾把簡訊雙重驗證限制為付費訂閱使用者，你的帳號能選哪幾項以設定頁面目前顯示的選項為準。已開啟身份驗證器後，登入時的碼在你自己的 App 裡，不會有簡訊送達，很多人找不到碼就是因為這一點。
Telegram
Telegram 的登入碼優先發到已登入的其他裝置，只有在沒有其他裝置時才發簡訊。二次驗證在「隱私和安全」裡設定為雲端密碼，同時建議填寫復原電子郵件。收不到登入碼時的檢查順序見 Telegram 收不到驗證碼，號碼相關的註冊與長期驗證見 Telegram 接碼。
WhatsApp 的兩步驟驗證在「設定 → 帳號」裡開啟，會要你設定一個自行選擇的登入憑證，具體形式和長度以 App 內目前提示為準。真正決定帳號存活的仍然是註冊號碼：換機重灌時會先向號碼發驗證碼，號碼不在手上就走不下去。
常見失敗模式
- 碼顯示無效，但你確定沒輸錯。 先看裝置時間是否為自動同步。TOTP 依賴時鐘，手動改過時間或時區錯亂都會讓碼對不上。
- 簡訊遲遲不到。 多半是線路類型被判為 VoIP，或者這個號碼此前被大量帳號使用過。換實卡號碼，不要在同一個免費號碼上反覆重試。
- 換手機後所有碼都沒了。 身份驗證器換機需要提前遷移或重新綁定，光把 App 裝回來不會恢復金鑰。備份碼就是為這一刻準備的。
- 註冊國家和登入網路對不上。 用英國號碼註冊的帳號，長期從完全不同的地區登入，平台可能追加驗證步驟。需要固定出口位置時，用 行動代理 IP 保持登入環境一致，這些 IP 段登記在行動電信業者網路下。
- 同一個號碼承擔太多帳號的 2FA。 號碼一旦出問題，所有綁在上面的帳號同時失去復原管道。重要帳號分號碼。
一次性還是專屬號碼：怎麼選
| 情境 | 一次性驗證碼 | 專屬月付號碼 |
|---|---|---|
| 使用期限 | 啟用後 15 分鐘 | 續訂期間持續持有 |
| 可選地區 | 美國號碼 | 美國、英國、印尼、香港、義大利、澳洲、德國 |
| 適合 | 只需註冊一次、之後不用簡訊 2FA | 開啟簡訊二次驗證、需要重設密碼 |
| 收不到碼 | 自動取消並全額退款 | 號碼常駐，簡訊可在控制台查看 |
| 同時租用 | 預設最多 5 個活躍租用 | 號碼固定歸你 |
判斷規則很簡單：這個帳號以後是否還需要收簡訊。只註冊一次、後續用身份驗證器做 2FA，一次性驗證碼夠了。只要簡訊是你的二次驗證或帳號復原方式，就從一開始用能長期持有的號碼，比如 美國手機號碼 或 英國手機號碼。
2FA 驗證碼是什麼？
它是密碼之外的第二個一次性登入憑證，用來證明登入者持有你綁定的身份驗證器或手機號碼。常見形式是身份驗證器 App 每 30 秒重新整理的 6 位 TOTP，以及平台發到號碼上的簡訊驗證碼。
如何取得 Google 驗證器的驗證碼？
在 Google 帳號的安全性頁面開啟兩步驟驗證並選擇身份驗證器 App，用 App 掃描 QR Code 或手動輸入頁面給出的文字金鑰，綁定完成後 App 會持續顯示目前有效的 6 位碼，離線也能產生。
Twitter 的驗證碼要去哪裡看？
取決於你開啟的方式。選身份驗證器 App 時，碼在你自己的 App 裡，不會有簡訊；選簡訊時會發到帳號綁定的號碼。設定位置是「安全性與帳戶存取權 → 安全 → 雙重驗證」。
線上 2FA 驗證碼產生器安全嗎？
用來臨時核對一個金鑰是否抄寫正確可以，但不要把長期帳號的金鑰留在網頁工具上。金鑰等於永久的第二登入憑證，洩露後對方能一直算出有效碼。
用一次性號碼開啟簡訊 2FA 會怎樣？
號碼在 15 分鐘有效時間結束後回收，之後所有驗證碼都會發到你拿不回來的號碼上，等於失去登入和復原管道。需要簡訊 2FA 就用租用期內的號碼或專屬月付號碼。
給需要長期 2FA 的帳號配一個自己的號碼
海外實卡號碼，一次性驗證碼 15 分鐘內無碼自動退款，專屬月付號碼在續訂期間只歸你使用，收到的簡訊都能在控制台查看。