La contraseña valida una vez; el comportamiento, todo el turno
Un token o una clave se comprueban al entrar y quedan ciegos el resto de la sesión. La lectura continua de ritmo de tecleo, presión sobre la pantalla y latencia al confirmar órdenes cubre el hueco entre el login y la ejecución, que es justo donde se cuelan las operaciones no autorizadas.