Semplicemente l'O-KEY ha un suo algoritmo interno che, in funzione di vari parametri (anche l'orario o persino la temperatura ambientale) generano un codice con un finale di riconoscimento.

Il server, ovviamente, sa riconoscere in modo opportuno se il codice generato è valido o meno.
Per la durata, bhè mettiamo caso che

codice:
f(15:30) = 598654
Il server da tale codice riesce a capire che è stato generato alle 15:30..quindi se è passato troppo tempo, timeout, non lo accettiamo.