2つの認証の基本的な違い
パスワード認証は、ページを開く際に合言葉を入力してもらう方式です。パスワードさえ共有すれば誰でも開けるので、相手が増えても運用が単純です。一方で、パスワードを知っている人なら誰でも入れるため「個人を特定する」性質はありません。
メール認証は、相手のメールアドレス宛にワンタイムコードを送り、それを入力してもらう方式です。コードはメール受信者しか受け取れないため、本人確認に近い性質を持ちます。誰が見たかを把握したい場面で効きます。
つまり、パスワードは「合言葉を知っているか」、メール認証は「そのメールアドレスを使えるか」を確かめる仕組みだと理解すると選びやすくなります。
パスワードが向く場面
相手が複数人で、個々人を厳密に特定する必要がないときはパスワードが向きます。チーム全員に同じ合言葉を伝えれば、誰でもすぐ開けます。
口頭や別チャネルで合言葉を伝えられる関係なら、運用も軽くなります。たとえば会議で「パスワードは伝えたとおりです」と共有すれば、メールが届くのを待つ必要がありません。
- 同じ内容を複数人に一律で見せたい
- 個人単位の特定までは不要
- 合言葉を口頭や別チャネルで安全に渡せる
- 相手の手元で素早く開いてほしい
認証方式の選び方フローチャート
パスワードとメール認証の使い分け（場面別）では、強い認証を選べばよいわけではありません。相手の人数、機密度、レビュー期間、相手のITリテラシーに合わせて、止まらない範囲で十分な制限を選びます。
共有相手と機密度が決まったら、URLのみ・パスワード・メール認証・会社ドメイン認証のどれで渡すかを選びます。
- URLのみ: 誰でも見てよい、短期の低リスク確認に限る
- パスワード: 少人数の社内外レビューで手早く制限したいとき
- メール認証: 特定の個人だけに見せたいとき
- 会社ドメイン認証: 社内・取引先企業単位で見せたいとき
メール認証が向く場面
誰が見たかを把握したい、見せる相手を特定の人に絞りたいときはメール認証が向きます。コードは受信者本人しか受け取れないため、リンクが転送されても本人以外は開きにくくなります。
社外の特定担当者に提案資料を見せる、レビュアーを限定したいといった場面で、メール認証は安心感があります。アクセスログと組み合わせれば、誰がいつ見たかの確認にもつながります。
- 見せる相手を特定の個人に絞りたい
- リンク転送による横漏れを避けたい
- 誰が見たかを把握したい
- 本人確認に近い手応えが欲しい
迷ったときの選び方ステップ
判断に迷ったら、次の順で考えると決めやすくなります。
- 見せる相手が特定の個人かどうかを確認する
- 個人を特定したいならメール認証を選ぶ
- 複数人に一律で見せたく特定不要ならパスワードを選ぶ
- 誰が見たか把握したいならメール認証を優先する
- 合言葉を安全に渡せない事情があればメール認証に寄せる
両方に共通する運用のコツ
どちらの認証を選んでも、公開期限を設定しておくと安心です。期限が切れれば自動的に閲覧できなくなるため、古い確認用URLが残りません。
中身を直したいときは、同じURLのままファイルを差し替えられます。認証設定やリンクを変えずに最新版へ更新できるので、レビュー途中の修正にも対応しやすいです。
一時公開ページにはnoindexが付いて検索結果には出ませんが、noindexはアクセス制御ではありません。だからこそ、関係者以外に見せたくない内容はパスワードかメール認証で守るのが基本になります。
よくある質問
パスワードとメール認証はどちらが安全ですか？
目的によります。個人を特定して見せる相手を絞りたいならメール認証、複数人に一律で見せて運用を軽くしたいならパスワードが向きます。守りたいものに合わせて選んでください。
メール認証では誰が見たか分かりますか？
メール認証は受信者本人がコードを受け取る方式で、本人確認に近い性質があります。ギガサイト便はアクセスログ（誰がいつ見たか）に対応しているため、組み合わせて確認できます。
パスワードが転送されたら誰でも見られますか？
パスワードを知っていれば誰でも開けます。横漏れを避けたい場合は、受信者本人しかコードを受け取れないメール認証のほうが適しています。
認証を選んでも検索に出ませんか？
一時公開ページにはnoindexが付くため検索結果には出ません。ただしnoindexはアクセス制御ではないので、見せたくない内容はパスワードやメール認証で保護してください。
パスワード認証とメール認証はどちらが安全ですか？
共有パスワードは手軽ですが転送されやすいです。特定の個人だけに見せたい場合はメール認証、会社単位で絞りたい場合は会社ドメイン認証が向いています。