2FAシークレットキーとは？Base32とTOTPをやさしく解説

2FAシークレットキーとは、認証アプリがログイン時に入力する6桁のコードへ変換する、英字と数字の短い文字列のことです。注文の納品内容にこのキーが含まれている場合、パスワードの次に重要な項目ですが、購入者が最も入力ミスをしやすく、ほかの文字列と取り違えやすい項目でもあります。このガイドでは、この文字列が何なのか、Base32とはどんな見た目なのか、そしてシークレットキーがバックアップコードやQRコードの中身とどう違うのかを説明します。

あわせて、納品された行の中からシークレットキーを見つけ、数秒で動作を確認する方法も紹介します。ファイル内のどの文字列を見ても、それがシークレットキーなのか、バックアップコードなのか、それ以外なのかを判断できるようになります。

2FAシークレットキーとは何か、6桁コードができる仕組み

時間ベースワンタイムパスワード（TOTP、RFC 6238で定義）は、共有シークレットと現在時刻という2つの材料から作られます。2FAを設定するとき、プラットフォーム側がシークレットを生成して1つ保管し、もう1つをあなたの認証アプリが保管します。30秒ごとに双方がシークレットと時計に対して同じ計算を行い、同じ6桁の数字にたどり着きます。

ここから、実用上の次の3点が言えます。

• シークレットキーはアカウントの2本目の鍵です。 この2FA設定が有効なあいだは、キーを持つ人なら誰でも、どの端末からでも有効なコードを生成できます。
• コードはどこにも保存されません。 コードは30秒ごとに再計算されるため、古いコードのスクリーンショットは役に立ちません。
• 時計のずれが影響します。 コードを生成する端末の時刻が実際の時刻から1分以上ずれていると、正しいシークレットキーでもコードが拒否されます。

Base32の文字の見た目とよくある入力ミス

シークレットキーはBase32で書かれます。これはAからZまでの大文字26字と、2から7までの数字で構成される文字セットで、使える文字はこれだけです。0、1、8、9は登場せず、記号も使われません。例（実在するアカウントのキーではありません）は次のような文字列です：JBSWY3DPEHPK3PXP。実際のシークレットキーは、一般に16〜32文字の長さです。

有効な文字が32種類しかないため、入力ミスの多くは簡単に見つけられます。

• キーの途中にある0・1・8は、文字の読み違いを意味します。0は多くの場合アルファベットのO、1はIまたはL、8はBであることが多いです。
• 小文字は、ほとんどのアプリが自動で変換するため、通常は問題ありません。
• 末尾の「=」はパディングです。多くのアプリは、あってもなくてもキーを受け付けます。
• 目に見えない余分な文字、たとえばテキストファイルからコピーしたときに混ざる末尾のスペースや改行は、「無効なキーです」と表示される原因になりがちです。

otpauth URI、QRコード、テキストキーの違い

同じシークレットが3つの形で手元に届くことがあり、これらを混同すると混乱のもとになります。

• テキストキー。 Base32文字列そのものです。認証アプリでは「セットアップキー」や「手動入力用キー」と呼ばれます。
• QRコード。 otpauth URIをエンコードした画像で、キーを手入力せずにスマートフォンで読み取れるようにしたものです。
• otpauth URI。 otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example のようなテキスト行です。secret= の後ろの値がBase32キーで、残りはラベルと、issuer、アルゴリズム、桁数、周期といった設定です。

QR画像やotpauthリンクしか手元にない場合、シークレットは secret= の後ろから次の「&」の手前までの文字列です。標準的な設定ではSHA-1、6桁、30秒周期が使われ、シークレットだけを入力した場合はアプリがこの初期値を前提にします。QRコードを読み取る、または完全なURIをインポートすると、そこに含まれる初期値以外の設定も適用されます。

2FAシークレットキー、バックアップコード、復旧用メールの違い

この3つは同じアカウントを守りますが、役割はまったく異なります。

• 2FAシークレットキー。 30秒ごとに新しいコードを生成する、長期間有効なBase32文字列です。2FAをリセットするか設定し直したときにだけ変わります。
• バックアップコード。 認証アプリが使えない日のために、プラットフォームが用意することのある使い切りコードです。それぞれ1回しか使えません。Base32のシークレットではないため、認証アプリやTOTPツールでは使えません。
• 復旧用メール。 コードではなく受信箱です。ログインの確認通知やリセット用リンクが届きます。納品された行ではメールアドレスとして現れ、通常はそのメールボックス自身のパスワードが続きます。

シークレットキーは日常のコードを生み出し、バックアップコードはスペアタイヤ、復旧用メールはほかが壊れたときに戻るための道です。記録上でも、この3つは別々にラベルを付けて管理してください。

納品された行からシークレットキーを見つけてテストする方法

納品物はTXTファイルで届き、username:password:email:email_password:auth_token のような行が並びます。含まれる項目はカテゴリーによって異なります。カテゴリーに2FAキーが含まれる場合は、その行の項目がもう1つ増えます。位置を機械的に数えるのではなく、カテゴリーの説明を読み、ファイルの1行目と見比べてください。

見た目からも項目を判別できます。

• シークレットキーは16文字以上で、大文字の英字と2〜7の数字だけでできており、記号は含みません。
• auth_tokenは長い16進数の文字列です。セッショントークンであってコードを生成するものではなく、シークレットキーの代わりにはなりません。この方法については auth tokenでTwitterにログインする方法 をご覧ください。
• パスワードにはコロンが含まれることがあり、そのため単純に「:」で分割すると行が崩れることがあります。

すべての行が同じ並びになっているかを確かめるには、サンプルをフォーマット判定ツールに貼り付けてください。シークレットが入っている列だけを取り出したい場合は、split-by-delimiterを使います。

そのあと、数秒でシークレットをテストします。無料の2FAツールを開いてシークレットを貼り付けると、カウントダウン付きの6桁コードが表示されます。ツールが無効なシークレットと表示した場合は、上の入力ミスの一覧に戻って確認してください。コードは表示されるのにログインで拒否される場合は、端末の時計を確認し、2FAコードが使えないときの対処法に従ってください。

多数のアカウントを管理するときのシークレットの安全な保管方法

納品された行にはパスワードと2FAシークレットがまとめて入っていることが多く、ファイルを開いた人は両方の要素を手にします。そのため、項目ごとではなくファイル全体を守る考え方が必要です。

• ファイルは1つの専用フォルダーに保管し、アクセスできる人を限定します。チャットアプリ、共有ドキュメント、スクリーンショットは避けてください。
• 納品後すぐにすべてのシークレットをテストし、アカウントの横に日付を記録しておくと、問題を早く見つけられます。
• 各文字列が何であるかラベルを付けて、使い切りのバックアップコードが認証アプリに入ってしまわないようにします。
• コピーの数を把握しましょう。 同じシークレットを2つ目の認証アプリに登録するのは妥当なバックアップですが、コピーが増えるほど流出しうる場所も増えます。

より広い計画については二要素認証と復旧計画を、商品ページの用語についてはアカウント用語集をご覧ください。Phone Verified Aged Accountsのようなカテゴリーを比較するときは、説明文を読んで納品ファイルに何が含まれるかを確認してください。2FAキーが必要な場合は、注文前にそれを確認するか、Telegramのサポートに問い合わせてください。

よくある質問

2FAシークレットキーはどんな見た目ですか？

AからZまでの大文字と2〜7の数字で構成される文字列で、通常は16〜32文字です。ドキュメントの例では JBSWY3DPEHPK3PXP のように書かれます。プラットフォームによっては、スペースやハイフンで区切ったグループで表示されます。

2FAシークレットキーとバックアップコードは同じものですか？

いいえ。シークレットキーは、その2FA設定が有効なあいだ30秒ごとに新しいコードを生成します。バックアップコードは1回しか使えない使い切りのコードで、認証アプリでは使えません。

QRコードからシークレットキーを取り出せますか？

はい。設定用のQRコードにはotpauth URIが含まれており、そのテキスト中の secret= の後ろの値がシークレットキーです。このテキストはキーそのものと同じくらい重要なので、他人に見せないようにしてください。

シークレットキーにスペースやハイフンが入っているのはなぜですか？

読みやすくするための区切りで、4文字ずつのグループにしていることが多いです。アプリがキーを受け付けない場合は、スペースとハイフンを削除してください。無料の2FAツールは、そのままの形でも受け付けます。

同じシークレットキーを2つのアプリで同時に使えますか？

はい。同じシークレットを持ち、時計が正しいアプリや端末であれば、どれも同じコードが表示されます。バックアップとして便利ですが、コピーが増えるごとにシークレットが漏れうる場所も増えます。