ワンタイム認証（OTP）とは何か
OTPは「One-Time Password」の略で、日本語ではワンタイムパスワード、あるいはワンタイム認証と呼ばれます。文字どおり「一度だけ使える使い捨てのパスワード」のことで、ログインや本人確認のたびに新しいコードが発行されます。一般的なパスワードがずっと同じ文字列を使い続けるのに対し、OTPは利用するたびに変わるのが大きな違いです。
たとえばネット銀行の振込やECサイトの決済で、スマホのSMSやメールに数桁の数字が届き、それを入力した経験はないでしょうか。あの数字こそがOTPです。多くの場合、発行から数分で無効になる短い有効期限が設定されており、その時間を過ぎると同じコードは二度と使えなくなります。
「使い捨て」と「短い有効期限」という二つの性質が、OTPを理解するうえでの鍵になります。この二つがあることで、たとえコードが第三者の目に触れても悪用されにくくなるのです。
なぜOTPは安全とされるのか
固定パスワードの最大の弱点は、一度漏れると漏れたまま使い回されてしまう点にあります。どこかで盗み見られたり、流出したパスワード一覧に載ってしまえば、本人が気づいて変更するまで悪用され続けます。
一方OTPは、一度使えばその瞬間に無効になります。仮に通信途中で誰かに見られても、すでに使われたコードや期限切れのコードには価値がありません。次のアクセスにはまったく別のコードが必要になるため、盗んだ側が同じ手口を繰り返すことが困難になります。
- 使い捨て：一度使ったコードは再利用できない
- 短命：発行から数分で自動的に無効になる
- 都度発行：アクセスのたびに新しいコードが届く
- 本人到達性：登録した連絡先に届くため、その連絡先を持つ本人かを確認できる
実務ではどこで関係する？
OTP 認証 とはは言葉の意味だけ覚えても、HTML共有の判断にはつながりません。実務では「表示に関係する話か」「検索に関係する話か」「アクセス制限に関係する話か」を分けて考えると整理しやすくなります。
ワンタイム認証（OTP）について迷ったら、相手が安全に開けるか、検索に出してよいか、ブラウザや環境差で壊れないかを順番に確認します。用語理解は、その判断を早くするための道具として使います。手順が決まったら、HTML/ZIPをアップロードして共有URLを発行し、相手に確認してほしい観点と期限を添えて送ります。
- 表示の話: HTML/CSS/JS、パス、ブラウザ互換性を確認する
- 検索の話: noindex、canonical、sitemap、robots.txtの役割を分ける
- 制限の話: URL共有、パスワード、メール認証、会社ドメイン認証を混同しない
- 運用の話: 期限、差し替え、削除、共有メッセージまで決める
メール認証とOTPの関係
OTPの届け先にはSMS、認証アプリ、メールなどがあります。中でも手軽なのがメール認証です。これは「閲覧したい人のメールアドレス宛にワンタイムのコードを送り、それを入力できた人だけを本人とみなす」やり方です。
この方式が便利なのは、相手に事前のアカウント登録や専用アプリのインストールを求めない点です。受け取った人は届いたコードを入力するだけでよく、招待された本人だけが中身にたどり着けます。社外の取引先やクライアントに資料を見てもらいたいが、誰でも見られる状態にはしたくない、という場面と相性が良い仕組みです。
パスワードを別途共有する方式と比べると、合言葉そのものを伝える手間や、その合言葉が又貸しされるリスクを抑えやすいという利点もあります。
OTPメール認証が役立つ場面
OTPによるメール認証は、限られた相手にだけ何かを見せたいときに力を発揮します。誰に見せるかをメールアドレス単位でコントロールできるため、リンクが転送されても、登録外のアドレスでは中身を開けません。
ビジネスの現場では、次のような共有でよく使われます。いずれも「関係者には見せたいが、不特定多数には公開したくない」という共通点があります。
- 取引先へ提案書やデザイン案を見せるとき
- 公開前のキャンペーンページを社内外の関係者に確認してもらうとき
- フリーランスがクライアントに納品物のプレビューを渡すとき
- 限られたメンバーにだけ社内向け資料を共有するとき
ギガサイト便のメール認証で試す手順
OTPの考え方は、HTMLやZIPで作った成果物を共有するサービス「ギガサイト便」のメール認証でそのまま体験できます。指定したメール宛にワンタイムのコードを送って本人確認する方式で、招待した相手だけがページを開ける状態をつくれます。
実際の流れは次のとおりです。コードを書かなくても、ブラウザの操作だけで限定共有を始められます。
- ギガサイト便に無料アカウントを作ってログインする
- 公開したいHTMLまたはZIP（HTML・CSS・JS・画像一式）をアップロードする
- 認証方式の一覧から「メール認証」を選ぶ
- 閲覧を許可したい相手のメールアドレスを指定する
- 発行された共有URLを相手に送る
- 相手は届いたワンタイムコードを入力して本人確認のうえ閲覧する
認証方式は目的に合わせて選ぶ
メール認証が万能というわけではありません。誰に見せたいかによって、適した認証方式は変わります。ギガサイト便では用途に応じて複数の方式から選べるため、共有のたびに「今回は誰に届けばよいか」を考えて使い分けるのがおすすめです。
たとえば社内の同じ会社の人にだけ見せたいなら、指定したメールドメインを持つ人だけが閲覧できる会社ドメイン認証が便利です。とりあえずリンクを知っている人に手早く見せたいだけならURLのみ、合言葉で軽く守りたいならパスワード認証という選び方もできます。さらに公開期限を設定しておけば、確認期間を過ぎたページは自動的に閲覧できなくなり、消し忘れによる情報の残留も防げます。
- URLのみ：リンクを知っている人なら誰でも閲覧
- パスワード認証：合言葉を知っている人だけ閲覧
- メール認証：指定したメール宛のOTPで本人確認
- 会社ドメイン認証：指定ドメインのメールを持つ人だけ閲覧
よくある質問
OTPとワンタイムパスワードは違うものですか？
同じものを指します。OTPは「One-Time Password」の略で、日本語にするとワンタイムパスワード、あるいはワンタイム認証と呼ばれます。いずれも一度だけ使える使い捨ての認証コードのことです。
OTPはなぜ普通のパスワードより安全なのですか？
OTPは一度使うと無効になり、発行から数分で期限切れになるためです。固定パスワードは漏れたまま使い回されますが、OTPは盗まれても次のアクセスには別のコードが必要になるため、再利用が困難です。
メール認証ではどのようにOTPが使われますか？
閲覧したい人のメールアドレス宛にワンタイムのコードを送り、それを入力できた人だけを本人とみなす形で使われます。相手はアカウント登録や専用アプリなしで、届いたコードを入力するだけで本人確認ができます。
OTPのコードを入力する前に期限が切れてしまったらどうなりますか？
期限切れのコードは無効になり、そのままでは利用できません。多くの場合は再度コードを発行し直すことで、新しいコードを受け取って認証できます。
実務ではどこで関係する？はHTML共有で必ず理解しておく必要がありますか？
細かな仕様を暗記する必要はありません。ただし、検索に出るか、閲覧者を制限できるか、表示が崩れないかに関わる用語は、共有前の判断材料として押さえておくと安全です。