2FAコードをサイトで作る前に、その鍵が誰のものかを確認してください

「2fa コード」で検索すると、一番目の候補が「2fa コード サイト」です。アプリではなくサイトで六桁を出したい、という需要がはっきりあります。

その道具は用意してあります。ただし使ってよい場面と、使うべきでない場面があります。そこを先に書きます。技術の説明はそのあとです。

使ってよい場面と、そうでない場面

判断の基準は一つだけです。その鍵は誰のものか。

• 買ったアカウントの鍵。これがこの道具の想定です。売り手から渡された文字列を一度通して、六桁を出して、自分の管理下に置き換えるまでの間だけ使います。
• 誰かから預かって作業しているアカウントの鍵。同じです。作業のために一時的に必要な場合。
• 自分の本命のアカウントの鍵。やめてください。銀行、証券、決済、日常的に使っているメール。これらの鍵をブラウザに貼る必要はありません。認証アプリを入れるほうが速く、安全で、機種変更にも耐えます。

この区別が重要なのは、鍵が漏れたときの被害の大きさが違うからです。買ったアカウントの鍵は、いずれ自分のものに置き換える前提のものです。自分の口座の鍵はそうではありません。

ここのアカウント自体には二段階認証はありません

誤解されやすいので書いておきます。この道具は当サイトへのログインとは無関係です。当サイトのアカウント自体に二段階認証の仕組みはありません。ここで扱うのは、他所のサービスのアカウントに設定されている鍵です。

仕組み、そして鍵がどこへ行くか

気にすべき点はここです。鍵はどこにも送られません。

六桁の計算はブラウザの中で完結します。計算に使う部品はページを開いたときに読み込まれますが、入力した鍵の側は外に出ていきません。サーバーに保存されることもありません。

確かめる方法もあります。コードを一度出したあとで通信を切ってください。切っても、三十秒ごとに数字が更新され続けます。外に問い合わせていれば、切った時点で止まります。

計算そのものは公開されている標準の手順です。鍵と、いまの時刻を三十秒で割った値。この二つから六桁が決まります。だから同じ鍵を入れれば、どのアプリでもどのサイトでも同じ数字が出ます。アプリと違う数字が出るとしたら、鍵が違うか、端末の時刻がずれています。

使い方

1. 生成のページを開きます。
2. 渡された文字列を貼ります。空白入りの文字列でも、otpauth で始まる長い文字列でも、そのまま入ります。
3. 六桁が出ます。残り時間の表示も一緒に出ます。
4. 残り時間が少ないときは、次の数字を待ってから使ってください。入力している間に切り替わります。

数字が合わないときに見るところ

• 端末の時刻。これが原因の大半です。手動で時刻を設定していると、数秒のずれで通らなくなります。自動に戻してください。
• 文字列の取り違え。大文字の I と数字の 1、大文字の O と数字の 0。手で書き写した場合に起きます。
• そもそも鍵ではない場合。回復用の一回限りのコードを鍵だと思って貼っていることがあります。長さが違うので見分けられます。

買ったアカウントの場合、六桁を出したあとが本番です

ここが最も大事な部分です。渡された鍵を持っているのは、あなただけではありません。売り手も同じ鍵を持っています。同じ鍵からは同じ六桁が出るので、売り手もいつでもそのアカウントに入れる状態が続きます。

だから六桁を出してログインが通ったら、次にやることは決まっています。

1. 二段階の設定を一度解除して、自分で入れ直す。これで鍵が新しくなり、前の鍵は無効になります。
2. 復旧用の連絡先を自分のものに置き換える。鍵を替えても、ここが相手のままだと戻されます。
3. 他の場所からのログインを切る。ある場合は全部切ってください。

この三つが終わるまで、そのアカウントは共有されている状態です。そして申し立ての期限は短いです。公開中の出品では六割弱が十二時間、五件に一件は三十分以下なので、受け取った当日に終わらせる作業だと考えてください。手順の全体は納品の仕組みの記事にあります。

「認証アプリ 機種変更」で探している方へ

日本語でこの言葉を調べると、候補の八割がゆうちょ、三菱UFJ、新生銀行といった金融機関です。銀行のアプリの移行は各行の手順に従ってください。この記事の道具は関係がありません。

金融機関以外のアカウントについても、機種変更に備える方法はこの道具ではありません。設定したときに表示される回復用のコードを、紙に控えておくことです。それだけで、端末を失っても戻れます。鍵をどこかのサイトに預けるより、はるかに確実です。