Push-notificatie

In plaats van codes in te voeren die via ip-verkeer worden ontvangen, zoals bij de apps voor internetbankieren, kan een app het antwoord ook eenvoudig 'per kerende post' terugsturen. Daartoe dien je wel te bevestigen dat de inlogpoging legitiem was. Behalve de bevestigingsknop is er een knop om het proces af te breken. Daar kan de betreffende dienst mee op de hoogte worden gesteld van een mogelijke aanval.

Of de dienst daarbij met HOTP, TOTP (zie de kolommen hiernaast), willekeurig gegenereerde TAN-codes, langere binaire codes of asymmetrische versleuteling werkt, is voor een gebruiker die wil inloggen niet te zien. Je moet er dan maar op vertrouwen dat het door de dienst en zijn app-ontwikkelaars aangeboden procedé veilig is. Google heeft het inloggen via pushnotificaties geïmplementeerd middels de op Android-smartphones voorgeïnstalleerde Play-services. Inloggen is daardoor sneller dan met SMS-TAN en ook minstens zo veilig. De procedure is echter niet gestandaardiseerd, zodat diensten het bevestigingsverzoek alleen naar hun eigen apps kunnen sturen. Als je niet voor elk account een bijbehorende app wilt installeren, dan zul je dan ook een andere oplossing moeten zoeken.

Naast Google ondersteunen ook Facebook, Microsoft en Steam een inlogbevestiging via push-notificatie.

In plaats van een code in te moeten typen is het voor Facebook voldoende als je het inloggen op je mobiele telefoon bevestigt.