במודל של 2FA, 'something you have' היא הצלע השנייה אחרי הסיסמה ('something you know'). זה מה שאפליקציות כמו Google Authenticator, Microsoft Authenticator, ו-Shopify mobile מספקות — קוד שמשתנה כל 30 שניות, מסונכרן עם השרת. ה-SMS code פחות בטוח (SIM swap) ולא מומלץ.

בישראל ההמלצה: לעבור מ-SMS (default ב-Shopify) ל-Authenticator app. Shopify mobile הוא הקל ביותר — לפעם להתחבר, ולעבור ל-prompt notifications במקום הזנת קוד. שווה גם להוסיף backup codes למקרה שמאבדים את הטלפון.