কাটো এর MFA টোকেনগুলি সময় উইন্ডোজের ভিত্তিতে কাজ করে, অর্থাৎ যখন তারা তৈরি হয় তখন থেকে একটি ধ্রুব সময়ের জন্য বৈধ নয়, বরং তারা তৈরি হওয়ার সময়কে বাহির করে একটি ধ্রুব উইন্ডোজে বৈধ থাকে। উইন্ডো আকার ৩০ সেকেন্ড, সুতরাং টোকেন যেখানে তৈরি হোক না কেন, একই ৩০ সেকেন্ডের উইন্ডোতে একই থাকবে।
ভিপিএন ব্যবহারকারীদের জন্য, কাটো এসএমএস এবং প্রমাণীকরণ অ্যাপ্লিকেশন (যেমন গুগল অথেনটিকেশন অ্যাপ) উভয়কেই টোকেন সরবরাহ করার জন্য পদ্ধতি হিসাবে সমর্থন করে (টোকেন বিতরণের পদ্ধতির পরেও টোকেন একই থাকবে)। ব্যবহারযোগ্যতা উদ্দেশ্যে এবং ব্যবহারকারী কোড প্রাপ্তির সময় এবং তা পূরণ করার সময় কোড মেয়াদোত্তীর্ণ হওয়া রোধ করতে, Cato একটি প্রায় ৩ এবং অর্ধ মিনিটের গ্রেস পিরিয়ড সরবরাহ করে যেন মাত্র শেষ হওয়া উইন্ডো হিসাব করা যায়।
প্রমাণীকরণ কোড পুনরায় পাঠানো: ব্যবহারকারী একটি টোকেন দুবার চাইতে পারেন (প্রমাণীকরণ কোড পুনরায় পাঠানো) এবং একই কোড পেতে পারেন, অথবা এটি ভিন্ন হতে পারে। অর্থাৎ, ১২:০০:০৫ এ কোড চাওয়া একই কোড দেবে যা ১২:০০:২৯ তে। কিন্তু ১২:০০:২৯ এ কোড চাওয়া ভিন্ন হবে ১২:০০:৩১ এ তৈরি কোড থেকে।
কখন কাটো পুনরায় প্রমাণীকরণ কোড চাইবে: এই সময়ে, যদি ব্যবহারকারী যোগাযোগ করার ডিভাইসকে বিশ্বাস করার জন্য নির্বাচন করেছেন তবে কাটো ৩০ দিন পর্যন্ত বা জিও-পরিবর্তনগুলি পর্যন্ত সমর্থন করে। যদি ব্যবহারকারী নির্বাচিত করেননি বিশ্বাস করতে, তাহলে পরবর্তী লগইন প্রচেষ্টায় একটি কোড প্রয়োজন হবে।