TesujiMFAを設定するときは、普段どうログインするかと、スマートフォンを失ったときにどう戻るかを一緒に確認します。「認証アプリのコード」と「復旧コード」は役割が異なります。
MFAは入力画面の数ではなく、要素の組み合わせ
MFA（多要素認証）は、知っているもの・持っているもの・身体的な特徴など、異なる種類の要素を組み合わせて本人確認を行う考え方です。パスワードとPINを二回入力するだけでは、異なる要素を組み合わせたことにはなりません。OWASPのMFA解説
よく使う方法の違い
| 方法 | 主な使い方 | 確認しておきたいこと |
|---|---|---|
| SMSの確認コード | 登録した電話番号に届くコードを入力する | 電話番号や端末が使えなくなった場合の代替手段 |
| 認証アプリのコード | アプリが作る一時的なコードを入力する | 機種変更時の移行・バックアップ方法と、設定の保存先 |
| パスキー | 保存した鍵の利用を承認してログインする | 鍵の保存先、利用できる別端末、本人確認の条件 |
| 復旧コード・バックアップコード | 通常の確認手段を使えない場合に備える | 使用回数・再発行時の扱い・保管方法はサービスごとに確認 |
GoogleはSMSや認証アプリなどの確認手段を案内し、SMSには電話番号を狙う攻撃への弱点もあると説明しています。認証アプリはインターネットや携帯電話回線が使えない場合にもコードを生成できます。Googleの二段階認証ガイド
パスキーでは、サービスが本人確認を求める場合、鍵の所持とPIN・生体による確認を組み合わせられます。文字列を入力する認証と同じ扱いではありません。FIDOの認証要素の説明、Tesujiのパスキー解説
復旧コードは、使えなくなる前に保管を確認する
Googleのバックアップコードは、一度使うとそのコードが無効になり、新しいセットを発行すると以前のセットが無効になります。通常の二段階認証が使えない場合の予備として案内され、他人へ渡さないよう求められています。Googleのバックアップコードの説明
これはGoogleの仕様です。ほかのサービスの「復旧コード」に、同じ回数・失効条件を当てはめることはできません。発行時に、何のためのコードで、どの場面で使えるかを確認します。
Bitwarden・1Passwordで管理する場合
Bitwardenは統合認証機能、1Passwordは他サイトのワンタイムパスワードを扱う手順を案内しています。対応プランや端末、設定方法は各公式ガイドで確認できます。Bitwardenの公式ガイド、1Passwordの公式ガイド
ここでは、保管庫自体へログインするためのMFAと、保管した別サービスの確認コードを分けて考えます。閉じた保管庫を開くために、その中にしかない情報が必要になっていないか、確認すると整理しやすくなります。
同じ保管庫にまとめる場合の利便性と、その保管庫を使えない場合・侵害された場合の影響を踏まえて、重要なアカウントの保存先と予備手段を決めます。これはTesuji編集上の運用提案です。
機種変更前に確認する4点
- どのアカウントの認証コード・パスキーを、どのアプリに保存しているか。
- 新しい端末で利用するための、公式の移行手順は何か。
- 旧端末が使えなくても利用できる予備手段があるか。
- 新端末でのログインを確認してから、旧端末の扱いを決められるか。
OWASPも、MFAの復旧手順が利用者を救済しつつ、攻撃者の迂回路にならないよう設計する必要を説明しています。組織のアカウントでは、管理者への依頼方法も事前に確認します。
確認日：2026年10月28日。コードや初期設定用QRは秘密情報として扱い、移行・復旧には対象サービスの公式手順を使ってください。