2FAのシークレットキーとは、ウェブサイトのアカウントとTOTP認証アプリを連携させるための、設定用の秘密鍵のことです。通常、2段階認証を有効にする際に、QRコード内または手動設定用のキーとして、サービス側によって表示されます。
このガイドでは、パスワード、SMSコード、または復旧コードと混同することなく、正しい値を見つける方法について説明します。
2FAシークレットキーはどこで確認できますか？
アカウントの公式ウェブサイトまたはアプリにログインし、「セキュリティ」、「ログインとセキュリティ」、「二要素認証」、「2段階認証」、「認証アプリ」といった項目を探してください。
認証アプリの設定を開始します。通常、サービス側でQRコードが表示されます。以下のようなオプションを探してください：
- QRコードをスキャンできませんか？
- 設定キーを手動で入力
- 秘密鍵を表示
- 手動入力
- セットアップキーをコピー
このオプションを選択すると、QRコードにエンコードされたシークレットキーのテキストが表示されます。これらの手順は、ご自身が所有しているアカウント、または管理権限を持つアカウントに対してのみ実行してください。
2FAのシークレットキーはどのような形式ですか？
ほとんどのTOTP設定キーはBase32形式（大文字のA～Zおよび数字の2～7）を使用しています。読みやすさのためにスペースが追加される場合があります。簡略化した例は次のようになります。 JBSW Y3DP EHPK 3PXP.
長さはサービスによって異なります。単にBase32形式に見えるという理由だけで、そのキーが有効であると判断してはいけません。シークレットおよびデフォルト以外の設定は、発行元サービスによって決定されます。
QRコードと手動設定キーの比較
認証アプリのQRコードには通常、 otpauth:// 設定URIを含んでいます。これには、秘密鍵に加え、アカウントラベル、発行元、アルゴリズム、桁数、更新周期などが含まれる場合があります。手動設定キーは、秘密鍵の部分のみです。
ツールがBase32形式のシークレットのみを受け付ける場合は、「セットアップキー」または「シークレット」とラベル付けされた値を使用してください。画像ファイル名、アカウントのパスワード、またはQRコードのURL全体は使用しないでください。Get2FA.devのジェネレータは現在、標準のTOTPシークレットに対応しています。
手順：手動設定キーを安全にコピーする
- 公式ドメインまたは公式アプリにアクセスしていることを確認してください。
- アカウントのセキュリティ設定を開き、認証アプリのセットアップを開始してください。
- QRコードの横にある手動設定キーを表示します。
- 引用符やラベルは含めずにコピーしてください。
- 信頼できる認証アプリに追加し、最初のコードを確認してください。
- サービスから提供された復旧コードを保存してください。
- テストコードが承認されてから、設定を完了してください。
秘密鍵を、メール、チャット、サポートチケット、または公開されたスクリーンショットに貼り付けないでください。「About」ページでは、このブラウザユーティリティの本来の用途と、プライバシーを重視した使用方法について説明しています。
2FAがすでに有効になっている場合はどうなりますか？
多くのサービスでは、初期設定時にシークレットが一度だけ表示されます。これを保存しておかないと、後で元の値を確認できなくなる可能性があります。認証アプリによってはエクスポートや保護されたバックアップが可能な場合もありますが、これはアプリや組織のポリシーによって異なります。
安全な復旧手順としては、通常、有効な復旧方法を使用し、古い認証アプリの登録を無効にして、再度設定し直すことが推奨されます。これにより、新しいシークレットが生成され、多くの場合、新しいバックアップコードのセットも作成されます。古い設定のキーが漏洩した可能性がある場合は、その設定を取り消すことが重要です。
2FAのシークレットは復旧コードではありません
これらの値はそれぞれ異なる目的を果たします：
- シークレットまたはセットアップキー：認証アプリが、変化するコードを計算するために繰り返し使用します。
- TOTPコード：シークレットと現在の時刻から導出される短いコード。
- 復旧コード：アカウントプロバイダーから提供される、緊急時用の（多くの場合、1回限りの）コード。
- パスワード：アカウントの主要な認証情報です。
TOTPジェネレーターにパスワードを入力してはいけません。リカバリーコードしかお持ちでない場合は、アカウントプロバイダーが提供するリカバリーコードの手順に従ってください。
シークレットキーの保護方法
- 信頼できる認証アプリまたは暗号化されたパスワードマネージャーにのみ保存してください。
- プレーンテキストのメモ、クラウド上のドキュメント、暗号化されていないスクリーンショットは避けてください。
- 唯一の復旧用コピーを、認証アプリと同じデバイスに保管しないでください。
- 秘密鍵が漏洩した可能性がある場合は、2FAの登録情報を再生成してください。
- 対応している場合は、重要なアカウントにはハードウェアセキュリティキーまたはパスキーを使用してください。
シークレットがなぜ一致するコードを生成できるのかを理解するには、2FA および TOTP の仕組みをご覧ください。
生成されたコードが一致しないのはなぜですか？
まず、正しいシークレットをコピーし、正しいアカウントを選択したことを確認してください。次に、デバイスで日付、時刻、タイムゾーンの自動設定を有効にしてください。カウントダウンが終了したコードを送信するのではなく、新しいコードが生成されるまで待ってください。当社のTOTPトラブルシューティングガイドでは、最も安全な順序で確認事項を解説しています。
よくある質問
6桁のコードからシークレットを復元することはできますか？
表示されたTOTPコードからシークレットを導き出すことに依存するようなアカウント復旧プロセスは、現実的ではありません。プロバイダーが提供する公式の復旧オプションをご利用ください。
QRコード自体は機密情報ですか？
はい。通常、QRコードにはシークレットが含まれています。設定用のQRコードのスクリーンショットは、シークレットキーのコピーと同様に扱ってください。
同じ秘密鍵を2台のデバイスで使用できますか？
技術的には、同じ秘密鍵と時間設定で構成された2つの認証アプリは、一致するコードを生成することが可能です。これを行うべきかどうかは、セキュリティ上の要件や組織のポリシーによります。管理されていない重複使用よりも、安全な復旧方法を選択することが望ましい場合が多いです。
重要なポイント
2FAの秘密鍵は通常、認証アプリを設定する際に確認できます。手動設定オプションを表示し、秘密鍵を認証情報として扱い、設定を確認し、復旧コードを安全に保管してください。元の秘密鍵を紛失した場合は、推測するのではなく、公式の復旧機能を使用し、新しい2FA登録を作成してください。