Voilà, j'ai fait un petit tuto pour expliquer comment se faire sa propre authentification double-facteur, et comment l'intégrer dans une application php existante. Côté client, il y a FreeOTP (logiciel libre Android/iOS) et côté serveur otphp (logiciel libre également).
Bien sûr cela ne vous empêche pas d'utiliser d'autres implémentations d'OTP, vu que c'est standardisé.
(J'ai ainsi sécurisé plusieurs formulaires de login de mes applications web privées.  Très efficace.)

EDIT: Démonstration par la pratique: Sécuriser le formulaire de connexion de DokuWiki: http://sebsauvage.net/links/?YVNepA