Лучше TOTP и U2F/FIDO2 (как у Google, Github, etc).

TOTP, да. Чтобы можно было и Google Authenticator, и любой другой генератор подключить (andOTP, Yandex.Key, etc).

И желательно U2F/FIDO2/WebAuthn как альтернативу для железных USB-ключей.

И чтобы одно не запрещало добавить другой вариант.