Только https://. Для локальной разработки можно http://localhost.
Код меняется каждые 30 секунд. Первую настройку 2FA делают на сервере командой admin-totp.
