Всё считается локально в браузере, секрет никуда не отправляется. Если включить «Запомнить», он хранится в этом браузере в открытом виде, так что не делай этого на чужом устройстве. Алгоритм — как в steamguard-cli: HMAC-SHA1 по 30-секундному шагу и алфавит из 26 символов.