Estaba trabajando en la implementación de una estrategia OTP en nuestro proceso de inicio de sesión de una aplicación web cuando me preguntaba a mí mismo: ¿Debería solicitar el token OTP antes o después preguntar para el nombre de usuario / contraseña?
Lo que generalmente veo con los servicios que utilizo es que debo proporcionar el token OTP después de que hayan verificado mi nombre de usuario / contraseña.
Me preguntaba si esto se debió simplemente a las decisiones de la experiencia del usuario o si había un aspecto de seguridad.