用語比較
TOTPとHOTPの違い
一言でいうと
HOTPはイベント（カウンタ）ベース、TOTPは時刻ベースのワンタイムパスワード。現在主流はTOTPで、Google Authenticatorなどが採用。
TOTPとHOTPの違いを、ワンタイムパスワードの生成方式、同期、用途の観点で比較。MFA設計で何を採用するかを整理する。
- 難易度
- 中級
- 想定読者
- 開発者・情シス・MFA設計者
- 所要時間
- 約6分
- 最終確認
- 2026-10-10
HOTPとは
HMAC-based One-Time Password (RFC 4226)。共有鍵とカウンタからOTPを生成し、認証成功でカウンタを進める。
TOTPとは
Time-based One-Time Password (RFC 6238)。HOTPを基盤に、現在時刻のウィンドウ（30秒）でOTPを生成する。
違いの比較表
| 比較軸 | HOTP | TOTP |
|---|---|---|
| 基準 | カウンタ（イベント） | 時刻（30秒ウィンドウ） |
| 同期方法 | 認証成功時にカウンタ同期 | 端末/サーバーの時刻同期が前提 |
| 主な利用例 | ハードトークン、メール/SMS送信OTP | Google Authenticator等のアプリ |
| 弱点 | カウンタ同期ずれによるロックアウト | 時刻ずれ、フィッシングでのリアルタイム盗用 |
使い分け
- 一般的なアプリ MFA では TOTP を採用する
- 物理ハードトークンを併用する環境では HOTP が残る場合がある
- フィッシング耐性が必要な領域では FIDO2/パスキーへ移行する
よくある誤解
- TOTPはフィッシングに完全耐性がある、というのは誤解
- HOTPは古い規格で全て使われない、とは限らない
- SMSのOTPはTOTP/HOTPと同じく安全、というのは誤り
よくある質問
HOTPとTOTPの違いは？
HOTPはイベント（カウンタ）ベース、TOTPは時刻ベースのワンタイムパスワード。現在主流はTOTPで、Google Authenticatorなどが採用。
HOTPとは？
HMAC-based One-Time Password (RFC 4226)。共有鍵とカウンタからOTPを生成し、認証成功でカウンタを進める。
TOTPとは？
Time-based One-Time Password (RFC 6238)。HOTPを基盤に、現在時刻のウィンドウ（30秒）でOTPを生成する。
HOTPとTOTPはどう使い分ける？
一般的なアプリ MFA では TOTP を採用する 物理ハードトークンを併用する環境では HOTP が残る場合がある フィッシング耐性が必要な領域では FIDO2/パスキーへ移行する
HOTPとTOTPでよくある誤解は？
TOTPはフィッシングに完全耐性がある、というのは誤解 HOTPは古い規格で全て使われない、とは限らない SMSのOTPはTOTP/HOTPと同じく安全、というのは誤り
編集・確認情報
CyberLens編集部が、用語の定義と実務上の判断軸を分けて確認しています。 最終確認日は 2026-10-10 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。