用标准 Authenticator，减少 SMS OTP——毋须自建 App。

为什么用 TOTP？

SMS OTP 按则收费、受延迟与号码携转影响。TOTP 离线产生 6 位码，无每次电讯费，并与银行／科技产品习惯对齐。

• 降低 OTP 短讯支出
• 降低 SIM swap／拦截风险
• 客户已熟悉 Authenticator
• 可与 SMS 备援并存

如何运作

平台负责 secret 加密、挑战、验证、锁定与 audit；你呼叫 /v1/totp。联络人亦可扫码注册；备援路径由管理员设定。

• Enroll → Confirm → Challenge → Verify
• 公开 API
• Contacts 扫码
• 例如 customer_totp → sms

Hybrid 备援

建议路径：已登记装置／TOTP 优先，必要时 Email OTP，最后才 SMS recovery。每次切换记录原因与结果。

• 优先次序可管治
• 逾时与重试
• 风险与每日上限

上线四步

预约咨询或注册工作空间 → 启用渠道与备援政策 → API key／Contacts 注册 → 小流量验证后扩大。

保安

首次确认后不显示明文 secret；rate limit、replay 防护、时钟容差；recovery 由管理员控制。