Help:二要素認証

• jawp
• jawt
• jawb
• jawq
• jawn
• jaws
• jawv
• jawy
• commons
• meta
• wikidata

ウィキペディア日本語版のヘルプページです。

---

二要素認証（英: 2FA）は、あなたのアカウントのセキュリティを強化する手段です。ウィキペディアでは、FIDO U2F互換のセキュリティキーとOATH-TOTP（RFC 6238）互換の認証アプリに対応しています。この文書では、ご利用のウィキペディアのアカウントにおいて二要素認証を有効化または無効化する方法を解説します。

二要素認証とよく似たものとしてメール認証も存在しますが、こちらも節「メール認証」で解説します。両者は全く別の機能ですので、混同しないようにして下さい。

概要

二要素認証はなぜ必要？

→「Wikipedia:利用者アカウントのセキュリティ」を参照

管理者や特権を有する利用者にとって、アカウントのセキュリティを保つことは非常に重要です。数多くのウィキペディアの管理者（共同創設者のJimbo Walesも含む）がアカウントへの不正アクセスを経験しており、百科事典の破壊行為に幾度となく悪用されてきました。これらは広範囲に及ぶ混乱を引き起こしただけでなく、被害を受けた管理者が確実にアカウントを取り戻したと確認されるまでの間アカウントをロックせざるを得ませんでした。

二要素認証を使えば誰でも利用者アカウントのセキュリティを強化できます。この手法は特権を持つ利用者に推奨されており、特に管理者は必ず有効化しておくべきです。

利用資格

サーバーへの負荷やサポートが可能な人材の不足などの問題により、以前は「スチュワードに事前申請した利用者」と「特定の利用者グループに属する利用者」以外は二要素認証を利用できませんでした。しかし、ウィキメディアプロジェクトのセキュリティ向上を目指す観点から、段階的にその制限が緩和されていきました。

2025年12月3日、phab:T399664の変更を以てすべての利用制限が解除されたため、現在はすべての登録利用者が二要素認証を有効化できるようになっています。

二要素認証が必須化された利用者グループ

→「meta:Category:User_groups_that_require_two-factor_authentication/ja」を参照

以下の利用者グループは不正アクセス時の被害が甚大になるため、二要素認証が無効の間は、関連する権限が自動で凍結されます。特別の事情により長期間二要素認証を無効にしなければならない場合は、cawikimedia.orgに相談してください。

• グローバルグループ
  • グローバルインターフェース編集者
  • グローバル管理者
  • 新規ウィキインポート担当者
  • オンブス委員
  • スチュワード
  • システム管理者
• ローカルグループ
  • インターフェース管理者
  • オーバーサイト
  • チェックユーザー
• メタ・ウィキ
  • 中央管理通知管理者
  • インターフェース管理者（メタ・ウィキ）
  • WMFオフィスIT
  • WMF信頼と安全

二要素認証と併せて

二要素認証は不正アクセスを防止する強力な方法ですが、完全ではありません。複数の対策を組み合わせ、セキュリティをより強固にしましょう。

パスワード

ウィキペディア外で使い回されていない強力なパスワードを設定しましょう。オンラインアカウント用に強力かつ固有のパスワードを生成できるパスワードマネージャーの利用を検討すると良いかもしれません。

Enhanced Password Reset

さらなる安全性の向上のため、特別:グローバル個人設定#利用者情報から「メールアドレスと利用者名の両方を入力した場合のみ、パスワード再設定メールを送信する」も併せて有効にしておくことをお勧めします。

現在の設定の確認方法

特別:個人設定#利用者情報に表示されている二要素認証のステータス

二要素認証が有効化されているかどうか確認するためには、特別:個人設定#利用者情報へ移動し、「グローバルアカウント」と「グローバル個人設定」の間にある「二要素認証」という項目を探してください。

「認証アプリ」または「セキュリティキー」

二要素認証は有効です。

回復コードの控えを定期的に点検しましょう。

「有効になっていません」

二要素認証は無効です。

数分で設定できるので、今すぐ有効化しましょう！

二要素認証の有効化

ウィキペディアではFIDO U2F互換のセキュリティキーとOATH-TOTP（RFC 6238）互換の認証アプリに対応しており、どちらかまたはその両方を設定できます。それぞれ複数個登録することも可能です。

認証アプリは他のサイトでも導入例が多く、すべての方におすすめできます。セキュリティキーをお持ちの方は、認証アプリと併せて利用するとフィッシング対策に役立ちます。一方、セキュリティキーのみを有効化することも可能ですが、モバイルアプリ版にログインできなくなるため、利便性よりもセキュリティを重視したい方に向いています。

セキュリティキーの登録方法

セキュリティキーで二要素認証を設定する様子

1. （任意）認証アプリをインストールしたデバイスとは別に、ウィキペディア側の設定画面を操作するための端末を用意すると、より作業がしやすいかもしれません。
2. 特別:二要素認証へ移動します。本人確認が求められた場合は、利用者名とパスワードを再入力してください。
3. セキュリティキーを追加をクリックしてください。
4. キーのニックネームの入力が求められます。設定画面での識別に用いるので、任意の名前を入力してください。ニックネームを変更する場合、当該セキュリティキーを一度削除してから再登録する必要があります。
5. 表示されている回復コードを必ずメモし、安全な場所に保管しておいてください。一見区別しにくい文字が含まれることもあるので、特に手書きの場合はルビを振っておくことを強くお勧めします。
6. 回復コードを正確に控えたことを再度確かめてから、キーを追加を押して登録作業を行ってください。操作方法はお使いの端末やブラウザによって異なります。
7. セキュリティキーが追加されました。というメッセージが表示されれば完了です。節「#回復コード」を必ずお読みください。

いくつか注意点があります。

• 現在、モバイルアプリ版はセキュリティキーをサポートしていません。また、認証アプリを登録せずセキュリティキーのみ有効にした場合は、モバイルアプリ版にログインできなくなります。
• パスワードレスログインへの対応は、現在のところ限定的です。詳細は、節「#パスワードレスログイン」をご覧ください。

認証アプリの登録方法

1. （任意）認証アプリをインストールしたデバイスとは別に、ウィキペディア側の設定画面を操作するための端末を用意すると、より作業がしやすいかもしれません。
2. 特別:二要素認証へ移動します。本人確認が求められた場合は、利用者名とパスワードを再入力してください。
3. 認証アプリを追加するをクリックしてください。
4. 登録情報のニックネームの入力が求められます。設定画面での識別に用いるので、任意の名前を入力してください。ニックネームを変更する場合、当該登録情報を一度削除してから再登録する必要があります。
5. 表示されたQRコードを認証アプリでスキャンするか、秘密鍵を直接入力してください。どちらの方法でも同じ二要素認証トークンを得られます。
6. ウィキペディア側の設定画面に戻ります。秘密鍵と一緒に16桁の回復コードが表示されているはずです。表示されている回復コードを必ずメモし、安全な場所に保管しておいてください。一見区別しにくい文字が含まれることもあるので、特に手書きの場合はルビを振っておくことを強くお勧めします。
7. 回復コードを正確に控えたことを再度確かめてから、確認欄に二要素認証トークンを入力し、送信ボタンを押してください。
8. 認証アプリが追加されました。というメッセージが表示されれば完了です。節「#回復コード」を必ずお読みください。

いくつか注意点があります。

• 一つの秘密鍵を複数の認証用デバイスで共有することも可能ですが、そのうち一台でも何らかの理由により破棄する場合は、安全のために既存の認証アプリの登録情報を削除してください。この場合、再登録時にもう一度すべての認証用デバイスに秘密鍵を再設定する必要があります。
• 入力にかかる時間やネットワークの遅延を想定し、2分以内の誤差であれば許容される仕様となってますが、これを超えるとログインが拒否されます。そのため、認証用デバイスの時計はある程度正確に保ってください。なお、ほとんどのスマートフォン・タブレット・パソコンについては、ネットワーク経由で自動的に補正されます。

パスキーの登録方法

パスキーは今のところ補助的な認証手段と位置付けられており、従来型のセキュリティキーか認証アプリのどちらかと併用しなければなりません。パスキーを登録した後であっても、従来型のセキュリティキーと認証アプリをすべて削除すると、二要素認証が無効化されます。この場合、パスキーと回復コードの両方が失効してしまうため、操作ミスには十分ご注意ください。

1. 登録していない場合は、従来型のセキュリティキーか認証アプリのどちらかを1つ以上登録してください。また、作業中に発行される回復コードは、控えて大切に保管しておきましょう。
2. 特別:二要素認証へ移動します。本人確認が求められた場合は、利用者名とパスワードを再入力してください。
3. パスキーを追加をクリックしてください。
4. 説明をよく読んでから、パスキーを追加を押して登録作業を行ってください。操作方法はお使いの端末やブラウザによって異なります。
5. パスキーが追加されました。というメッセージが表示されれば完了です。

いくつか注意点があります。

• 従来型のセキュリティキーや認証アプリとは異なり、ニックネームを設定できません。
• セキュリティキーと同様、現在のところモバイルアプリ版はパスキーをサポートしていません。認証アプリを登録していない場合は、モバイルアプリ版にログインできません。
• パスワードレスログインへの対応は、現在のところ限定的です。詳細は、節「#パスワードレスログイン」をご覧ください。

認証用デバイスの変更方法

Remove（日本語設定の場合は「除去」）を押すことで、登録情報を削除できる。

何らかの理由により、認証用デバイスを変更を希望することがあるかもしれません。例えば、機種変更したときや、セキュリティキーを購入した時などです。

以前は二要素認証をいったん無効化する必要がありましたが、複数の認証用デバイスを登録できるようになったことにより、簡単に操作できるようになりました。

1. 特別:AccountSecurityに移動します。
2. 本人確認が要求された場合は、指示に従って再認証してください。
3. 追加する認証用デバイスについて、節「#二要素認証の有効化」の手順に従って登録処理を行ってください。
4. 削除する認証用デバイスについて、デバイス一覧の中から該当するものを選び、表示された除去ボタンを押してください。

認証アプリをご利用の場合で、すべての認証用デバイスにおなじ秘密鍵を設定している方は、既存の登録情報を削除すると現在有効な認証用デバイスがすべて利用できなくなります。引き続き利用する認証用デバイスがあれば、必ずそのすべてに新たに発行された秘密鍵を再登録してください。

なお、認証用デバイスをすべて削除した場合、二要素認証が完全に無効化され、現在の回復コードが失効します。再有効化時には新しい回復コードが発行されるので、忘れずにメモを取り直してください。

→「§ 新しい回復コードの生成方法」も参照

回復コード

回復コードの例

二要素認証を有効化する際、4×4桁の英大数字で構成された回復コードが10個発行されます。認証用デバイスの盗難などにより認証アプリにアクセスできなくなった場合に、回復コードで二要素認証トークンを代用できます。その際、スペースの有無は区別されませんが、英小文字を使用するとログインに失敗します。

リムーバブルメディアに保存するか紙に印刷するなど、安全かつオフラインな場所に必ず保管してください。メモを取り忘れた場合、特別:AccountSecurityから再表示できます。

万が一、認証用デバイスも回復コードも利用できなくなった場合は、アカウントから完全にロックアウトされます。

回復コードの注意事項

• 以下のいずれかに該当する場合は、速やかに特別:AccountSecurityから回復コードを再生成してください。
  • 回復コードを1個でも利用したとき
  • 回復コードが漏洩した可能性があるかもしれないとき
• 回復コードはそれぞれ1回限り有効です。
• 認証用デバイスを利用できない状態で二要素認証を無効化するには、回復コードが最大2個必要です（ログイン時に1個、設定画面入場時の本人確認に1個）。
• 回復コードを認証用デバイスと一緒に保管しないでください。認証用デバイスを紛失した場合、回復コードも併せて失われてしまうためです。
• 回復コードには一見区別しにくい文字が含まれることもあるので、特に手書きの場合はルビを振っておくことを強くお勧めします。
• Wikipedia:利用者アカウントのセキュリティの指示には引き続き従う必要があります。あなたの名前や誕生日など、辞書攻撃により推測されやすい文字列をパスワードに指定しないでください。他人が視認でき得る場所にパスワードを書き留めないでください。また、学校・図書館・空港などに設置された共有の端末からウィキペディアにログインするのは避けましょう。
• 特別:メールアドレスの変更から、送受信可能な確認済みメールアドレスがアカウントに紐づけられているかどうか確認してください。緊急時にサポートが受けられる可能性があります。また、なりすましを防ぐため、メールアカウントのセキュリティにも十二分に気を配ってください。

新しい回復コードの生成方法

Create new recovery codes（日本語設定の場合は「新しい回復コードを作成」）を押すことで、回復コードを再生成できる。

回復コードの再生成は、特別:AccountSecurityからいつでも行えます。以前はいったん二要素認証を無効化する必要がありましたが、現在はその必要はありません。

逆に、認証用デバイスをすべて削除した場合、二要素認証が完全に無効化され、現在の回復コードが失効します。再有効化時には新しい回復コードが発行されるので、忘れずにメモを取り直してください。

なお、以下のいずれかに該当する場合は、速やかに回復コードを再生成してください。

• 回復コードを1個でも利用したとき
• 回復コードが漏洩した可能性があるかもしれないとき

アカウントからロックアウトされた場合

認証用デバイスも回復コードも利用できなくなった場合、アクセスの回復は非常に困難です。まずは、アカウントに紐づけられた確認済みメールアドレスからcawikimedia.orgへリクエストを送信してみて下さい。WMF信頼と安全チームによる厳格な本人確認を通過すれば、アカウントを復旧できるかもしれません。リクエストが拒否された場合は、残念ながらアカウントを再作成するしかありません。

二要素認証を使ったログイン

ウェブ版

• 
  セキュリティキーによるWikipediaの二要素認証画面（ver.1.45.0-wmf.23 (b82b39c)）
• 
  認証アプリによるWikipediaの二要素認証画面（ver.1.45.0-wmf.23 (b82b39c)）
• 
  回復コードによるWikipediaの二要素認証画面（ver.1.45.0-wmf.23 (b82b39c)）

セキュリティキーの使い方

自動でブラウザがプロンプトを表示するため、指示に従ってセキュリティキーを操作してください。うまくいかなかった場合は、ページを再読み込みを押すと再試行できます。

なお、セキュリティキーと認証アプリの両方を登録している場合、セキュリティキーが優先されます。認証アプリでのログインに切り替えるときは、ブラウザによって表示されたプロンプトをキャンセルしてから認証アプリでログインを押してください。

認証アプリの使い方

認証アプリを開き、数字6桁の二要素認証トークンを確認してください。正しく入力するとログインが完了します。

二要素認証トークンは時刻ベースなので、操作中にトークンが更新される場合があります。2分以内の誤差であれば許容される仕様となってますが、認証できなかった場合は最新の二要素認証トークンを再取得してください。通常、トークンの有効期限が切れそうになると認証アプリが通知します（Google Authenticatorの場合、数字の色が青から赤に変わります）。

パスキーの使い方

パスキーは、パスワードレスログイン時を除いてセキュリティキーとほぼ同等の挙動を示します。

回復コードの使い方

回復コードは大文字と小文字を区別するため、すべて大文字で入力する必要があります。一方、スペースの有無は区別しません。

仕様上、認証アプリの二要素認証トークンの入力画面で回復コードを入力してもログインできます（回復コードの入力画面で認証アプリの二要素認証トークンを入力した場合は動作しません）。

モバイルアプリ版

ウィキペディアAndroidアプリ版の二要素認証画面（ver.2.7.50546-r-2025-08-25）

AndroidやiOS向けに提供されている公式アプリを利用する場合も、二要素認証トークンを要求された際には、ウェブ版と同様に操作する必要があります。

回復コードを使う場合、二要素認証トークンの欄に入力してください。回復コードは大文字と小文字を区別するため、すべてすべて大文字で入力する必要があります。一方、スペースの有無は区別しません。

認証アプリを登録していない利用者アカウントでは、エラーにより二要素認証が強制的にキャンセルされるため、モバイルアプリ版にはログインできません。現時点では、回復コードによる代替も不可能です。

APIアクセスについて

• AutoWikiBrowserやHuggleなど、ほとんどのAPIログインクライアントは二要素認証をサポートしていません。代わりにボットパスワードを作成できます。詳細は、Wikipedia:AWBを二要素認証下で使うやmw:Manual:Huggle/Bot passwords/jaを参照してください。
• 二要素認証をAPIで行うには、クライアント側で特別な設定が必要です。

パスワードレスログイン

パスワードレスログインでは、利用者名とパスワードの入力を省略し、FIDO認証だけでログインを行います。フィッシング詐欺へ非常に高い耐性を示します。

技術的な都合で、パスワードレスログイン特有の制約が2つ存在します。MediaWikiに実装されてから日が浅く、改良途中というのが実情です。

1. ログインしようとしているブラウザに、利用者アカウントのパスキーが保存されている必要があります。これは、パスワードレスログインのトリガーとしてWebAuthnのConditional UIを採用しているためです。保存されているパスキーがログインしようとしている利用者アカウントのものである必要があるか否かは、Conditional UIでパスワードレスログインをトリガーしたあとで認証用デバイスを外部ソースに切り替えられるか否かによって異なり、これはブラウザの仕様に完全に依存します。
2. セキュリティキーとして登録された認証用デバイスでは、パスワードレスログインに失敗する場合があります。一方、パスキーとして登録された認証用デバイスは、すべて正常に動作します。これは、登録時にブラウザに引き渡されるnavigator.credentials.create()で定義された要件の差異によるものです。

パスワードレスログインに関するアドバイス

使用するブラウザやOSにもよると思いますが、利用者:T4NeGMp7P4enの環境では、セキュリティキーとして登録されたYubiKeyはパスワードレスログインに利用できませんでした。Yubico Authenticatorを見る限り、パスキー非対応のFIDO認証器として認識されてしまったようです。一方、パスキーとして登録されたYubiKeyはパスキー非対応のFIDO認証器として認識されたようで、パスワードレスログインに利用できました。

YubiKey2本とChromeの同期パスキー1本で運用し、TOTPは併用しないつもりでいました。しかし、セキュリティキーとして登録する認証用デバイスが最低1つ必要ですが、同期パスキーは本来セキュリティキーとして登録できない仕様となっています。

色々試した結果、次の方法なら無理やり同期パスキーをセキュリティキーの欄に突っ込むことができるようです。この方法で登録した同期パスキーも、何故かパスワードレスログインに使用できました。

1. パソコンで登録画面を開く。
2. クロスデバイス認証での登録を選ぶ。
3. スマートフォンで読み取り、登録実行。

「どうしてもFIDOだけで運用したい」という強いこだわりをお持ちの方は、試してみてください。MediaWikiが想定している使用方法ではない（＝上手くいく保証はない）点はお忘れなく。

二要素認証の無効化

Remove（日本語設定の場合は「除去」）を押すことで、登録情報を削除できる。

二要素認証を完全に無効化する場合は、次のように操作します。

1. 特別:AccountSecurityに移動します。
2. 本人確認が要求された場合は、指示に従って再認証してください。
3. 登録済みの認証用デバイスを選び、表示された除去ボタンを押してください。
4. デバイス一覧が空になるまで削除を繰り返します。ただし、セキュリティキーと認証アプリをすべて削除すると、自動的にすべてのパスキーが一括で無効化されます。
5. （任意）認証用デバイス側に登録された秘密鍵等を削除します。

二要素認証を完全に無効化すると、現在の回復コードはすべて失効します。再有効化時には新しい回復コードが発行されるので、忘れずにメモを取り直してください。

バグが原因である場合を除き、なるべく早く再有効化することをお勧めします。特に、二要素認証が必須化された利用者グループに属している方は、再有効化するまで一部の権限が制限されますので、十分ご注意ください。

メール認証

→詳細は「mw:Help:Extension:EmailAuth/ja」を参照

ここまで説明してきた二要素認証は、MediaWikiのOATHAuth拡張機能が提供しています。一方、本節で解説するメール認証は、MediaWikiのEmailAuth拡張機能が提供しています。

MediaWikiのメール認証は、システムが不審なログイン試行を検知したときだけ発動し、メールワンタイムパスワードの入力を要求します。このような追加認証の形式を、情報セキュリティ分野ではリスクベース認証と呼びます。多要素認証よりも簡易的ではあるものの、すべての不正なログインを検知できるわけではありません。

リスクベース認証だけではなく、メール認証そのものにも欠点が存在します。

• メールサービスが強力なパスワードや多要素認証に対応していない場合、メール認証のセキュリティ強度は大きく低下します。
• 受信メールサーバが暗号化通信に対応していない場合、メールワンタイムパスワードが盗聴される可能性があります。
• サーバの混雑や性能の問題で、メールが届くまで非常に時間がかかることがあります。二要素認証で用意されている認証手段はすべてオフラインで動作するため、ウィキペディアを閲覧できる環境であればいつでも安定的に動作します。
• 二要素認証のように、予備の手段や回復コードによるフォールバックができません。これは特に、迷惑メールフィルタの誤作動やメールアドレスの変更などにより、メールを完全に受信できなくなった場合に致命的です。

ここまで述べてきた通り、メール認証は二要素認証と比べて機密性や可用性が大きく劣るため、二要素認証を有効にすると、メール認証が無効化されます。一方、それでも「あった方がマシ」ではあるため、二要素認証を有効にする以外にメール認証を無効化する方法はありません。

メール認証の挙動を試したい場合、Cookieを設定することで、一時的にメール認証を強制発動させることが可能です。この方法は、二要素認証を有効にしている利用者アカウントにも通用します。ただし、これはブラウザ単位の設定であって、利用者アカウントのセキュリティが向上するわけではありません。詳細は、mw:Help:Extension:EmailAuth/jaを参照してください。

困ったときは

• 疑問がある場合は、Wikipedia:利用案内やWikipedia:井戸端で質問してください。
• 本文書に訂正すべき箇所が生じた場合、ノートページに書き残してください。確定した情報であれば、直接編集しても構いません。緊急性の高い情報については、冒頭に{{Notice|警告する内容|style=warning}}を設置することで注意喚起することも可能です。
• 技術的な問題は、プロジェクト:ウィキ技術部やWikipedia:井戸端で議論してください。
• メタウィキでの二要素認証に関する説明は、meta:Help:Two-factor_authentication/jaをご覧ください。
• 認証アプリの比較にある通り、ここで紹介したもの以外にも著名かつ互換性のある認証アプリはたくさんあります。認証アプリ固有のお問い合わせについては、各発行元にお尋ねください。

脚注