2段階認証（TOTP）を整える。

体験：ログインしてみる（仮想）

その6桁で、本当にログインできる？

「サーバ役」になりきって、ログイン時の答え合わせを再現します。上で出ている6桁を入れれば成功、 違う数字や時間切れのコードなら失敗。本物のログインで起きていることが、そのまま見えます。 この照合もすべてブラウザ内。どこにも送信されません。

スマホをなくしたときの備え

2段階認証は、スマホをなくした「あと」のことまで決めて初めて完成します。

認証アプリの6桁コードは端末の中の秘密鍵から作られます。端末を失くすと、その鍵ごとログインの手段も無くなります。登録したその場で備えておくのが一番確実です。細かい仕様はサービスによって違います。

• バックアップコード

  設定時に表示される、使い捨ての予備コードです。印刷するか、パスワードマネージャーに保管します。Google の場合は1セット10個で、使うと無効になり、新しいセットを作ると古いセットは使えなくなります。表示されるかどうか・個数はサービスによって違います。

• アプリの移行・複数端末への登録

  同じ秘密鍵を2台目の端末にも登録しておけば、1台を失くしても使えます。ただし、サービスによっては QR コードを読む登録の場面でしかできません。後から鍵を見直せないことが多いので、登録時にやっておきます。アプリ側にも移行・同期の機能があります（Google Authenticator は Google アカウントでの同期、またはQRコードでの書き出し／読み込み）。

• 端末を失くしたときの手順

  1. 別の端末、またはバックアップコードでログインする。
  2. 古い端末の登録を無効にする（サービスの設定、または端末のリモート消去）。
  3. 新しい端末で、認証アプリを登録し直す。

• 会社のアカウント・復旧用の連絡先

  会社や学校のアカウントは、自分では戻せないことがあります。まず管理者に連絡してください。個人のアカウントも、復旧用のメールアドレスと電話番号を最新にしておきます。

ログイン画面の守りを全体で整えるなら ログイン画面の守りを整える もどうぞ。

出典（公式ヘルプ）： Google「バックアップコードでログインする」 / Google「Google 認証システムの利用」 / Microsoft「Microsoft Authenticator アプリに関する一般的な質問」

この6桁の作りかた（TOTP）

通信なしで「同じ数字」が出る、その仕組み。

1. 1

   秘密鍵を、サーバとスマホで共有しておく

   登録時の QR コード（や設定キー）が、その共有の秘密鍵。これ以降は通信せず、両者が「同じ鍵」を持っている状態になります。

2. 2

   いまの時刻を「30秒のコマ」に切る

   現在の Unix 時刻 ÷ 30 の整数部が「何コマ目か」。世界中で時計が合っていれば、サーバもスマホも同じコマ番号になります。

3. 3

   鍵 × コマ番号 を「ハッシュ」にかける

   HMAC-SHA1（鍵, コマ番号） で 20 バイトの値を計算。鍵が同じ・コマ番号が同じなら、必ず同じ結果になります。

4. 4

   そこから6桁を切り出す

   決められたルール（動的トランケーション）で 4 バイトを取り出し、÷ 1,000,000 の余りで6桁に。これが画面の数字です。次のコマに進めば、別の6桁に変わります。

💡 規格は RFC 6238（TOTP）/ RFC 4226（HOTP）。本ツールは Web Crypto API でブラウザ内計算しており、既知のテストベクタ（秘密鍵 = "12345678901234567890" の Base32、時刻 59 秒 → 287082）と一致することを確認済みです。秘密鍵・コードは保存も送信もされません。