ワンタイムパスワードアプリの使い方｜店舗アカウントの登録と復旧準備

楽天R-Loginは公開情報ではViber連携のみ確認でき、AmazonセラーセントラルはGoogle・Microsoftの認証アプリを案内し、Yahoo! JAPAN IDはSMS・メールでの受信を案内しています。 認証アプリは、一般的な時刻ベースの方式では、時刻をもとに通常30秒ごとに変わるコードを作ります。 サービスの設定画面に表示されるQRコードを読み取り、生成されたコードを入力して登録を完了します。 登録した日にバックアップコードを保管し、どのアカウントをどの端末に登録したかも控えておきます。

確認日：2026年10月24日。

ワンタイムパスワードアプリの仕組み

認証アプリは、対応サービスと共有した秘密のキーと現在時刻から、ログイン確認用のコードを生成します。

この時刻ベースの方式をTOTPと呼びますが、更新間隔とサービス側が受け付ける時間範囲は必ずしも一致しません。Google Cloudの公式説明

アプリのインストールだけでは保護は始まらず、守りたいサービスのアカウントごとに登録が必要です。

主な認証アプリの違いと対応端末

アプリを選ぶときは、利用端末に加え、同期やバックアップの条件と、保存先を管理できるかを確認します。

アプリ	対応端末	バックアップ・同期	確認する条件
Google Authenticator	Android・iPhone	Googleアカウントへの同期あり。同期なしの利用も可能	同期中に登録を削除すると、ほかの同期端末からも削除される
Microsoft Authenticator	Android・iPhone	クラウドバックアップあり	復元は同じOS種別が前提。職場・学校アカウントは再登録が必要
Apple「パスワード」	iOS 18以降のiPhoneなど	iCloudキーチェーンによる同期あり	同じApple Accountと、キーチェーンへのアクセスを確保する

Microsoftも全情報を復元するわけではなく、職場・学校アカウントは名前のみが保存されます。

対応条件はGoogle、Microsoft、Appleの公式案内で確認できます。

Microsoftは、Androidのバックアップを2027年1月以降に変更すると案内しています。Microsoft個人用アカウントが不要になり、Google One側で有効にする予定とされています。今後の変更のため、移行時に最新の公式手順を再確認してください。

QRコードとバックアップコードの違い

登録用QRコードとセットアップキーはコード生成のもとになる情報で、バックアップコードは別の復旧手段です。

情報	使う場面	扱い方
登録用QRコード	アプリへアカウントを追加するとき	共用チャットや外部のQR解析サイトへ送らない
セットアップキー・設定キー	QRコードを読めず、手入力するとき	登録用QRコードと同様に秘密として扱う
アプリの確認コード	登録完了時や日々のログイン時	正規の入力画面だけで使う
バックアップコード・回復コード	通常の認証方法を使えないとき	発行元のサービスと保管場所を対応させる

登録用QRコードやキーが漏れると、第三者が同じコードを生成できるおそれがあるため、共有物にしないでください。

楽天や各モールで認証アプリを使えるか

楽天を含む各モールの認証方式は異なるため、「二段階認証」の表示だけでTOTP対応とは判断できません。

ログイン先	公開公式ページで確認できた内容	汎用TOTPアプリへの登録
楽天R-Login・楽天ビジネスログイン	楽天IDとViberを連携する方式	対応の有無・対象範囲は公開情報では確認できません
Amazonセラーセントラル	認証アプリの登録手順と、Google・Microsoftのアプリ名を案内	対応を確認できます
Yahoo!ストアクリエイターPro	連携したYahoo! JAPAN IDを利用。IDのOTPはSMS・メール受信を案内	汎用TOTPアプリの登録は公開情報では確認できません

楽天のViberへのコード送信を、認証アプリが端末内でコードを生成する方式と同じものとして扱わないでください。楽天の登録方法は、楽天ビジネスログインの「STEP4 2段階認証登録」で確認します。楽天IDとViberを連携する公開手順です。

楽天の公開手順「STEP4 2段階認証登録」を参照してください。

認証アプリにアカウントを登録する手順

Amazonセラーセントラルでは、次の流れで登録します。

1. 正規の入口からログインします。確認済みのブックマークを使い、対象のIDと権限を確認します。
2. 「設定」→「ログイン設定」→「二段階認証」→「認証アプリ」と進みます。
3. QRコードか文字列を取り込みます。別端末に表示した登録用QRコードをアプリで読み取ります。スマートフォンだけで操作する場合は、「スマートフォンのみをご利用の場合」から文字列を取得し、認証アプリのアカウント追加で入力します。
4. 生成された確認コードをAmazonの登録画面に入力します。登録完了を確認し、利用できる復旧手段を準備して、別のログイン操作でも認証を確認します。

以上はAmazonの公式登録案内に沿った流れです。画面名が変わっている場合は、その場の公式案内を優先してください。

アプリ	登録時の操作の要点
Google Authenticator	追加からQRコードの読み取り、またはセットアップキーの入力を選ぶ
Microsoft Authenticator	Microsoft以外のサービスは「アカウントの追加」から「その他のアカウント」を選ぶ
Apple「パスワード」	カメラでQRコードを読むか、該当アカウントの「コードを設定」から設定キーを入力する

Appleでは対応するWebページのQRコードを長押しし、「“パスワード”で確認を追加」を選ぶ方法もあります。各アプリの登録手順は、それぞれの公式ヘルプで確認してください。

初期設定で表示されるサービス名とアカウント名

認証アプリの初期設定では、QRコードを読み取るたびに、コードを表示する登録が1件ずつ増えます。登録には、発行元のサービス名とアカウント名が並んで表示されるのが一般的です。

Google Cloudの開発者向け資料でも、登録用QRコードの作成にアカウント名と発行元（issuer）を指定しています。アカウント名には、メールアドレスなどのログインIDが入る例が示されています。Google CloudのTOTP登録手順

「サービスID」と呼ばれるものも、多くはこのサービス名とアカウント名の組み合わせです。同じサービスに複数のIDを登録すると見分けにくいため、表示名の整え方は次の節で確認します。

認証アプリを使った日々のログイン方法

日々のログインでは、正規の画面を開き、サービス名とログインIDが一致する登録項目の最新コードを入力します。

1. 確認済みの入口からログインし、自分で始めた操作で確認コードを求められているか確かめます。
2. 認証アプリを開き、同じサービスでも店舗や担当者の異なる登録を選んでいないか確認します。
3. 残り時間が少ない場合は更新を待ち、表示された最新コードを正規のログイン画面へ入力します。

アプリ内の表示名は、編集できる範囲でサービス名・店舗名・担当者・ログインIDを識別できる形にそろえます。

認証アプリのコードが通らないときの確認

コードが通らない場合は、登録情報を削除する前に、端末時刻・対象アカウント・コードの期限を確認します。

確認項目	見るポイント	対処
時刻のずれ	スマートフォンの日時が正しいか	OSの日時の自動設定を確認する
別のアカウントのコード	サービス名と実際のログインIDが一致するか	正しい登録項目のコードを選び直す
期限切れ	入力中に数字が切り替わっていないか	更新後のコードで試す
登録項目が見つからない	同期先アカウントやログイン状態が正しいか	保存先を確認し、復旧手段の有無を調べる

Google Authenticatorはバージョン7.0でアプリ内の時刻調整設定が廃止され、OSの時刻設定を使います。古い記事の「アプリ内で時刻を同期」を探し続けず、端末側の日時を確認してください。

改善しない場合は、利用できるログイン状態を残したまま、登録先の別の認証方法や公式の復旧手順を確認します。

店舗アカウントの認証の一覧表

店舗の認証管理では、サービス・端末・担当者と復旧情報の保管場所を対応させ、秘密そのものは台帳に書きません。

サービス名	認証の方法	登録した端末	担当者	バックアップコードの保管場所
楽天R-Login
Amazonセラーセントラル
業務用メール

同じサービスでもログインIDごとに行を分け、端末は資産管理番号などで識別できるように記録する運用を勧めます。コードが発行されないサービスは、保管場所の欄に代替の復旧手順の管理先を記録すると整理できます。

楽天の公開FAQは管理者の楽天会員IDをスタッフ間で使い回さないよう案内しており、担当者ごとの利用者登録を確認します。楽天の公開FAQ

登録した日に行うバックアップコードの保管

バックアップコードはサービスごとに発行条件を確認し、認証端末を失っても取り出せる場所へ安全に保管します。

Googleアカウントのバックアップコードは8桁で、新しいセットには10個あり、それぞれ一度使うと無効になります。新しいセットを作ると古いセットも無効になるため、再発行した日は保管物を更新してください。

高度な保護機能プログラムの登録者はダウンロードできないため、同じ保管手順を一律に当てはめないでください。Googleのバックアップコード案内

1. 対象アカウント・発行日とともに保管し、復旧できなくなったメールやクラウドだけに保存しないようにします。
2. 紙は施錠できる場所へ置き、電子保管は閲覧権限を限定し、通常の業務台帳には保管先だけを書きます。
3. アプリの同期先とその管理責任者も控え、休暇や退職で復旧手段を失わないか事前に確認します。

Googleアカウントのバックアップコードは、Google Authenticatorに入れた全サービスを復旧する共通コードではありません。

認証アプリの機種変更と紛失への備え

機種変更では同期・移行の条件を先に確認し、新端末で必要なサービスへログインできるまで旧端末を残します。

Googleの同期なしの手動移行には旧端末が必要で、紛失後に同じ移行操作をできるとは限らない点に注意します。

偽の画面や電話に認証コードを渡さない対策

認証アプリのコードも偽画面に入力すれば盗まれるため、入力先の確認と、電話で読み上げない運用が必要です。

警察庁は、偽サイトで入力させた情報を正規サイトへ即時中継するリアルタイム型フィッシングを説明しています。フィッシング対策協議会も正規の入口の利用を勧めており、コードの短い有効時間だけで安全とは判断できません。

求められた操作の例	店舗での対応案
停止解除のため、リンク先へコードを入力する	リンクを閉じ、確認済みのブックマークから状況を確認する
電話でコードを読み上げ、画面を共有する	応じずに通話を終え、既知の正規窓口へ確認する
本人確認としてバックアップコードを送る	送信せず、公式の案内を確認する
エラーを理由に次のコードも入力する	操作を止め、正規の入口から入り直す

正規の入口の利用は、警察庁のフィッシング対策と協議会の2026年度版ガイドラインも参照してください。

よくある質問（FAQ）

Q1 認証アプリはオフラインでも使えますか

Google Authenticatorは通信なしでもコードを生成できますが、ログイン先への接続や同期には通信が必要です。

Q2 QRコードを読み取れないときはどうしますか

登録先が表示するセットアップキーを手入力し、生成した確認コードをサービス側へ入力して登録を完了します。

Q3 コードは必ず30秒間使えますか

開いた直後でも切り替わり直前の場合があり、サービスが受け付ける時間範囲も更新間隔と同じとは限りません。

Q4 バックアップを有効にすれば復旧準備は完了ですか

アプリの復元条件とサービス側の復旧方法は別なので、バックアップコードや管理者の復旧手順も確認してください。

Q5 Face IDでアプリを開けばパスキーになりますか

アプリのロック解除とログイン先の認証方式は別なので、Face IDを使ってもTOTPコードはパスキーに変わりません。