二段階認証の基本｜方式の選び方・設定手順と機種変更・紛失への備え
設定前に用意するバックアップと復旧手段
バックアップコードはログインできる秘密情報
バックアップコードやリカバリーコードは、通常の認証器が使えないときに、代わりの確認に使う情報です。単なる控えではなく、第三者が入手すると不正なログインに利用できる場合があります。サービス名と発行日を分かるようにし、コード自体は他人に見られない状態で保管します。
紙に印刷して施錠できる場所へ置く方法なら、スマホが故障しても取り出せます。デジタルで保存するなら、暗号化などで保護され、スマホなしでも開けるかを確認します。写真として保存しただけでは、共有アルバムや自動同期を通じて意図しない相手から見られる可能性があります。
発行数、再発行後の扱い、有効期限はサービスによって異なります。たとえばGoogleのバックアップコードは使用するとそのコードが無効になり、新しい一式を発行すると古い一式も無効になります。ほかのサービスへそのまま当てはめず、それぞれの表示を読んでください。Googleのバックアップコードの案内でも、保管と更新の扱いを確認できます。
復旧用メールと電話番号を点検する
登録情報が昔の電話番号や使えないメールのままでは、設定できても復旧で困ります。今の受信先を開けるか、自分で管理しているかを先に確認します。以前の職場や学校のメール、いずれ解約する予定の回線は、長期の復旧先として使い続けられるか注意が必要です。
予備メールもアカウントなので、そのパスワードと認証の保護が必要です。メインと予備の両方が同じ一台のスマホでしか開けないなら、別端末や予備コードから戻れるかまで確認します。「復旧先を登録した」という表示だけでなく、実際に使える状態を見るのがポイントです。
家族に緊急時の保管場所を知らせる場合も、毎回の認証コードを日常的に共有する運用にはしません。家族それぞれのアカウントとサービスの共有機能で対応できるかを確認します。勤務先のコードや鍵は、個人の家族向けの保管方法へ勝手に移さず、管理者の指示に従います。
控えにはコードの使い方も添える
予備のコードだけが残っていても、どのアカウント用か、どの画面で使うかが分からないと復旧が進みません。「個人用メールの予備コード」「ログイン画面の別の方法から使う」といった短いメモを、保護された保管物に添えます。公開してよい説明と秘密の実物を区別し、家族向けの共用メモへコードそのものを転記しないようにします。
再発行した日は古い控えも確認し、使えない版と取り違えないよう整理します。紙とデジタルの両方に保存するなら、保存先を把握し、片方だけ更新して終わらせないようにします。保管先を増やすほど管理箇所も増えるため、必要な数に絞ると点検を続けやすくなります。
認証アプリを登録してログインを確かめる手順
設定画面はいつもの入口から開く
「認証を今すぐ設定してください」というメールのリンクを起点に作業しないようにします。いつも使っている公式アプリや保存済みのブックマークからログインし、アカウント設定の「セキュリティ」「ログイン方法」などへ進みます。表示名が異なる場合は、そのサービスの公式ヘルプから該当箇所を探します。
認証アプリは公式の配布元や正規のアプリストアから入手し、提供元を確かめます。アプリを入れただけでは、サービス側の二段階認証は有効になりません。サービスとアプリを登録で結び付け、コードが通ることを確認するところまでが一つの作業です。
- サービスの設定画面で、認証アプリを使う方式を選びます。必要なら現在のパスワードなどで本人確認します。
- 表示されたQRコードを認証アプリで読み取るか、案内された設定用の文字列を指定欄に登録します。
- アプリに表示されたサービス名と利用者名を確認し、コードをサービス側の確認画面に入力します。
- 有効になった表示を確認し、バックアップコードや利用できる予備手段を保管します。
- 元のログイン済み画面は残し、別のブラウザープロフィールなどで新しくログインを試します。
- 新しいログインで追加認証が通ることを確認し、一覧に設定方法と確認日を記録します。
スマホ一台だけで設定すると、同じ画面上のQRコードをカメラで読み取れない場合があります。その場合は、サービスが案内する設定用の文字列や、対応していれば公式の連携方法を使います。QR画像を読ませるために、無関係な変換サイトへアップロードする必要はありません。
QRコードもパスワードと同じように扱う
登録用QRコードには、認証コードを作るための秘密情報が含まれます。他人が読み取ると、同じようにコードを生成できる場合があります。SNSに設定画面を投稿したり、サポートを名乗る相手へ画像を送ったりしないでください。移行用QRコードにも同じ注意が必要です。
ログインの試行は、仕事中や出発直前を避け、落ち着いて復旧手順も確認できるときに行います。元の画面を残すのは、設定を調べ直すためです。すべての画面から先にログアウトしたり、コードを確かめる前に認証アプリを削除したりしないようにします。
一方、元の画面が開いているから必ず設定を直せるとは限りません。設定変更にも再認証を求めるサービスがあるため、予備手段を用意する必要は残ります。初めての設定では、認証を有効にした直後にパスワードや電話番号までまとめて変更せず、一つずつ動作を確かめると問題の切り分けがしやすくなります。
日常の承認通知と認証器を安全に使う習慣
自分の操作と通知が対応しているかを見る
承認通知は、自分が今行っているログイン操作に対してだけ許可します。サービス名、アカウント、表示されていれば端末や時刻を確認します。位置情報は通信経路の影響で大まかな表示になることがあるため、地名一つだけで本人の操作かを判断しないようにします。
画面の数字を端末側で選ぶ方式でも、自分でログインを始めたかが先です。知らない相手から「この数字を選んで」と言われて承認すれば、確認の意味がなくなります。通知を連続して送り、止めたい気持ちから承認させる手口もあるので、身に覚えがなければ拒否して公式の利用履歴を確認します。
認証アプリには、似た名前のアカウントが並ぶことがあります。同じサービスで個人用と仕事用を使っているなら、サービス名とアカウント名の両方で見分けられる表示にします。コードが通らないときも、すぐに再登録する前に、別アカウントのコードを選んでいないか確認できます。
端末のロックと信頼済み設定
スマホの画面ロックを有効にし、他人に解除方法を教えないことも運用の一部です。認証アプリに独自のロック設定があれば確認します。OSやアプリを更新し、不審な拡張機能や提供元不明のアプリを避けることは、二段階認証を設定した後も続けます。
「この端末では次回から確認しない」という設定は、自分だけが管理する端末かで判断します。家族の共用PC、ホテルや職場の共用端末では保存しないようにします。使わなくなった端末が信頼済みの一覧に残っていれば、サービスの案内に従って登録を外します。
パスワードと認証コードを同じ管理アプリへ保存する方法は、操作やバックアップをまとめやすい反面、その管理先を失うと両方に影響します。必ず別アプリにすればよいという単純な話でもなく、最重要アカウントは別の認証器を使うか、管理アプリ自体をどう復旧するかまで含めて判断します。
旅行や出張の前には、電波が入らない場合の手段、端末の充電、予備キーの持ち方を確認します。予備を普段のスマホと同じポーチへすべて入れると、ポーチごとなくしたときに同時に失います。保管場所は、使えることと他人に取られにくいことの両方で決めます。
