OTP認証QRコード作成ツール

QRコードの作成

コンテンツ

ブラウザ内で直接生成されます。2FAシークレットはQR Globalへ送信・保存されません。

プレビュー

プレビュー

生成後、ここにQRコードが表示されます

デザインテンプレート

ワンクリックのスタイル — すべてスキャン可能

カラープリセット

スキャンしやすい

モジュールのグラデーション

背景のグラデーション

OTP認証アプリ用QRコードを使う理由

二要素認証の設定は、たいていセットアップ画面に表示されるQRコードから始まります。ところがその画面は閉じた瞬間に消えてしまい、手元に残るのはBase32形式の長いセットアップキーだけです。OTP用のQRコードは、このキーから設定用のコードを組み立て直すので、どの認証アプリでも文字を打ち込まずに読み取るだけでアカウントを追加できます。アカウント、発行者（サービス名）、Base32シークレットを入力し、時間ベースのTOTPかカウンターベースのHOTPを選んでください。サービス側から指定があれば、アルゴリズム、桁数、期間も変更できます。画像はお使いのブラウザの中だけで作成されます。シークレットはQR Globalに送信されず、履歴にも保存されず、計測用のリンクで包まれることもありません。

  • Google Authenticator、Microsoft Authenticator、1Password、Bitwarden、Authyに、読み取るだけで2FAのアカウントを登録できます。
  • シークレットがブラウザの外に出ることはありません。サーバー上のコピーも、履歴への記録も、リダイレクトも存在しません。
  • TOTPとHOTP、SHA1・SHA256・SHA512、6桁と8桁、任意の期間の設定に対応しています。
  • 貼り付けたキーに含まれるスペース、ハイフン、パディングは自動で取り除かれます。

新しい認証アプリへの乗り換え

サービスのセットアップキーは保管していたもののQRコードは残っておらず、新しいスマートフォンに入れたアプリが読み取りでの登録を求めている、という場面に。

金庫にしまう紙のバックアップ

印刷してオフラインで保管したコードがあれば、認証アプリの入ったスマートフォンをなくしてもアカウントを元に戻せます。

チームで使う共有アカウント

管理者がキーを口頭で伝えなくても、同じサービスのログインを同僚それぞれのパスワードマネージャーに登録できます。

2FAを検証する開発者

自社製品にTOTPを組み込んでいるチームが、特定のアルゴリズムや期間を指定したテスト用コードを用意できます。

キオスク端末・共用端末

カメラは付いているものの使いやすいキーボードがない機器に、サポート担当者がサインインの設定を済ませられます。

その他の生産性QRコード

同じカテゴリー。コンテンツに合ったタイプをお選びください。

OTP認証QRコード作成ツール

OTP QRコードは、それ自体がワンタイムコードではなく、認証アプリでコード生成器を設定するためのシークレットです。設定後は、コードが端末上でローカルに生成され、30秒ごとに切り替わります。

このQRコードとは？

Google AuthenticatorやAuthyなどの認証アプリで読み取ると、シークレットキー入りのotpauth:// URIが取り込まれ、アプリが二要素ログイン用のTOTPコードを作り始めます。

主な活用シーン

  • ✓シークレットキーを手動入力する代わりにスキャンして新しいサービスアカウントの2FAを設定する。
  • ✓端末を機種変更した後に二要素認証を復旧するためのバックアップQRコード。
  • ✓TOTP経由でVPNアクセスを設定するための企業オンボーディング。
  • ✓従業員を素早く認証アプリに追加するためのIT部門のドキュメント。

QRコードの作成方法

1

2段階認証をオンにしたときにサービスが表示するセットアップキーを探します。

2

アカウント、発行者、Base32のシークレットを入力します。特に指示がなければ初期設定は変えずにおきます。

3

認証アプリで画像を読み取り、最初に生成されたコードを入力して確認を済ませます。

4

ダウンロードしたファイルはオフラインで保管するか、アカウントを追加し終えたら削除します。

よくある質問

QRコードに含まれるコードが実際のワンタイムパスワードですか？

いいえ。QRコードには設定用のシークレットのみが含まれており、実際のワンタイムコードは端末上でローカルに生成され、定期的に変化します。

どのアプリがこのフォーマットに対応していますか？

otpauth:// 形式はTOTP規格（RFC 6238）に準拠しており、Google Authenticator、Authy、1Passwordなどに対応しています。

QRコードそのものがワンタイムパスワードなのですか？

いいえ。中に入っているのは設定用のシークレットです。読み取った後は、認証アプリが30秒ごとに、HOTPならボタンを押すたびに新しいコードを計算します。この計算はすべてスマートフォンの中で完結します。

QR Globalは私のシークレットを保存しますか？

いいえ。このタイプでは画像をブラウザ内で描画するため、当社のサーバーには何も送られず、コードが履歴に表示されることもありません。ページを閉じれば、ダウンロードしたファイル以外は何も残りません。

どの設定を選べばよいですか？

サービス側で別の指定がない限り、初期値のSHA1、6桁、30秒のままにしておいてください。認証アプリの中にはそれ以外の値を無視するものがあり、その結果、サービスに受け付けてもらえないコードが表示されてしまいます。

アカウントと発行者はそれぞれ何を指しますか？

発行者は会社名やWebサイト名といったサービスの名前で、アカウントは通常、メールアドレスかユーザー名です。この二つを合わせたものが、認証アプリに表示されるラベルになります。どちらの欄にもコロンは使えません。

HOTPとカウンターが必要になるのはどんなときですか？

サービスがカウンターベースのコードを使うと明示している場合だけで、そうしたケースはまれです。ほとんどのWebサイトやVPNは時間ベースのTOTPを採用しています。HOTPを選ぶ場合は、「初期カウンター」に現在のカウンター値も入力する必要があります。

画像はどのように保管すればよいですか？

マスターキーと同じ扱いが必要です。画像を手に入れた人は、あなたのコードをいつまでも生成し続けられます。紙に印刷するか暗号化されたドライブに保存し、読み取りが終わったら、共有フォルダーやチャットの履歴からダウンロードしたファイルを消してください。