A busca por token de hardware retornou dois tópicos completos.
Quais tipos de token de hardware são recomendados pelo Discourse?
Aqueles que não estão no telefone e nem exigem software do Google.
Para autenticação de dois fatores? Qualquer um que implemente a especificação WebAuthn funcionará. Pessoalmente, uso o Yubikey mais recente.