Có nhiều loại Xác thực Hai yếu tố:
Token phần cứng (Hardware tokens) - Loại 2FA này yêu cầu người dùng sở hữu loại token vật lý, bao gồm token USB, mà họ phải cắm vào thiết bị trước khi đăng nhập. Một số token phần cứng hiển thị mã số mà người dùng phải nhập.
SMS và giọng nói 2FA - 2FA dựa trên SMS giao tiếp trực tiếp với điện thoại người dùng. Sau khi nhận tên người dùng và mật khẩu, trang web gửi mã truy cập một lần (OTP) duy nhất cho người dùng qua tin nhắn. Giống như quy trình token phần cứng, người dùng sau đó nhập OTP trở lại phần mềm trước khi được truy cập. Tương tự, 2FA dựa trên giọng nói tự động gọi cho người dùng và đọc mã 2FA. Mặc dù không phổ biến, có thể dùng ở quốc gia smartphone đắt đỏ hoặc dịch vụ di động kém.
Token phần mềm cho 2FA (Software tokens) - Hình thức phổ biến nhất của xác thực hai yếu tố cần mã truy cập một lần dựa trên thời gian do phần mềm tạo. Còn gọi là TOTP, hoặc "soft-token".
Đầu tiên, người dùng phải tải xuống và cài đặt ứng dụng 2FA miễn phí trên smartphone hoặc máy tính để bàn. Sau đó có thể dùng ứng dụng với bất kỳ trang web nào cung cấp loại xác thực này. Khi đăng nhập, người dùng trước tiên nhập tên người dùng và mật khẩu, sau đó, khi được nhắc, nhập mã hiển thị trên ứng dụng.
Giống token phần cứng, soft-token thường đúng trong chưa đến một phút và vì mã được tạo và hiển thị trên cùng thiết bị, soft-token loại bỏ cơ hội chặn bắt bởi hacker. Đó là mối quan tâm lớn với kỹ thuật truyền SMS hoặc giọng nói.
Thông báo đẩy cho 2FA (Push notifications) - Có thể tải ứng dụng thông báo đẩy đến điện thoại. Khi nhập thông tin đăng nhập để truy cập trang web, thông báo đẩy được gửi đến smartphone. Thông báo sẽ xuất hiện trên điện thoại yêu cầu phê duyệt cố gắng đăng nhập bằng một cú chạm. Bằng cách có kết nối trực tiếp và an ninh giữa nhà bán lẻ, dịch vụ 2FA, và thiết bị, thông báo đẩy loại bỏ một số cơ hội cho lừa đảo (phishing), tấn công man-in-the-middle, hoặc truy cập trái phép. Nhưng chỉ hoạt động với thiết bị kết nối internet, phải có thể cài ứng dụng. 2FA dựa trên SMS có thể là dự phòng ưu tiên. Nhưng nơi là tùy chọn, thông báo đẩy cung cấp dạng an ninh thân thiện với khách hàng hơn, được bảo vệ hơn.
Sinh trắc học (Biometrics) - 2FA sinh trắc học, xác thực coi người dùng như token, đang đến gần. Đổi mới hiện tại bao gồm xác minh danh tính qua vân tay, mẫu mống mắt, và nhận diện khuôn mặt. Nhiễu xung quanh, nhịp đập, mẫu gõ phím, và vân giọng nói cũng đang được phân tích. Chỉ là vấn đề thời gian trước khi một trong các kỹ thuật 2F này bùng nổ và hacker sinh trắc học tìm ra cách đạt được chúng.
Vị trí (Location) - Nếu tài khoản được tạo và đăng ký ở một bang, và đột ngột cố gắng đăng nhập ở vị trí khác, có thể kích hoạt yếu tố vị trí. Yếu tố này sẽ cảnh báo khi cố gắng đăng nhập trên thiết bị mới và gửi mã để nhập để xác minh danh tính.