Спасибо, @Be0
В большинстве текущих реализаций ключи доступа пока не внедряются таким образом. Их рассматривают как отдельное от 2FA средство, см. этот отчёт о подходе YouTube. Однако, думаю, индустрия постепенно адаптируется в этом направлении.
Для реализации того, что вы ожидаете, необходимы два изменения:
шаг 1: разрешить использование ключей доступа в качестве 2FA (в настоящее время, как вы отметили, ключи безопасности нужно регистрировать отдельно)
шаг 2: требовать 2FA при входе по паролю, если пользователь добавил ключ доступа
Шаг 1 кажется мне логичным и не нарушает текущий процесс. Шаг 2 также имеет смысл, но он немного более нарушителен: если пользователь удалит ключ доступа из своего браузера (или не будет иметь его на конкретном устройстве), доступ будет заблокирован.
Тем не менее, считаю, что стоит изучить эту возможность.