2FAコードの取得方法

始める前に揃えるもの

まずはアカウントへのアクセスです — 保護したいサービスにサインイン済みであることが前提になります。そのうえで、 2つのことが重要です。第一に、サービスが第二要素として認証アプリの選択肢を用意していること。 Google、Microsoft、GitHub、Discord、Steam、AWS、Coinbase、Kraken、Binance、X、そして多くの銀行や取引所が これに該当します。第二に、認証アプリを動かす場所です。スマホのアプリでもいいし — そしてこれこそが 本サイトの主眼ですが — 何もインストールせずにまったく同じコードを計算する、このブラウザツールでも構いません。

呼び名についてひとこと。この第二要素は、サービスによって「二段階認証」「2FA」「2ステップ認証」「TOTP」 「認証アプリ」と呼ばれます。名前の裏側は同じもの — 共有シークレットから導かれる、時間ベースのワンタイム コードです。使い方ではなく仕組みの解説が読みたい場合は、2FAとは？TOTPの仕組み をご覧ください。

ステップ1：2FAをオンにしてセットアップキーを表示させる

アカウントのセキュリティ設定を開き、二段階認証のセクションを探します。認証アプリの選択肢を 選んでください。サービスはスマホで読み取るためのQRコードを表示しますが、その画面にはほぼ必ず別の手段も 用意されています。「スキャンできない場合」、「コードを手動で入力」、「セットアップキー」といったリンクです。リンクを辿ると、本当の秘密が現れます。JBSWY3DPEHPK3PXP のような Base32 文字列で、ときにはアカウントラベル、桁数、更新周期、 ハッシュアルゴリズムまで一緒に運ぶ完全な otpauth:// URI の形で渡されることもあります。

この鍵こそが認証情報の実体です — 第二要素における、あなたのパスワードの持ち運び可能な 同等物です。この画面はリカバリー画面と同じ扱いで接してください。正規の相手が、セットアップキーをメールや チャットに貼り込むよう頼むことは決してありません。鍵をコピーし、2FAの有効化を完了させ（多くのサービスは 確認用に、一つの有効なコードを要求します）、原本はパスワードマネージャーのような暗号化された場所に 保管しましょう。

ステップ2：鍵をジェネレーターに貼り付ける

ホームページ最上部のジェネレーターに、コピーしたものを貼り付けます — Base32 文字列 そのものでも、otpauth:// リンク全文でも、どちらでも構いません。数秒で6桁のライブコードが 現れ、30秒ごとに更新されます。鍵を画像から取り込むこともできます。QRコードのスクリーンショットを Ctrl+V でページに貼る、画像ファイルをドロップする、カメラで読み取る — デコードはすべてローカルで行われ、 何もアップロードされません。サービスが非標準の設定（8桁コード、15／30／60秒周期、SHA-256、カウンタ方式の HOTP）を発行している場合も、完全な otpauth:// URI がそれらのパラメータをすべて運んでくれ、 ジェネレーターが自動で反映します。

ステップ3：ライブコードをコピーしてサインインを完了する

コードが交代する前に、現在の値を確認画面に入力します。各コードの有効期間は1つの30秒の窓です（独自周期の サービスなら、それより短くも長くもなります）。表示が残り数秒まで来ていたら、古いコードを急いで入力するの ではなく、次のコードを待ちましょう。これ以後、このサービスとのサインインは毎回同じ繰り返しになります。 ジェネレーターを開く → コードをコピー → 貼り付ける。最後に入力した鍵は自分のブラウザのローカルストレージだけに記憶されるので、次の訪問は ワンクリックで済みます。

人気のサービスでセットアップキーを見つける場所

認証アプリの選択肢が置かれている場所は、サービスごとに少しずつ違います。そこで、このジェネレーターと 併用するステップバイステップの設定ガイドを公開しています — 最後にはここで鍵を 貼り付けて、設定を完了させられます。よく読まれているのは：Google、 Microsoft、Discord、 GitHub、Steam、 AWS、Coinbase、 Kraken、そして Binance です。

困ったときの対処法

コードが拒否される。実際にはほぼ常に、ジェネレーターを動かしている端末の時計のずれが 原因です。TOTPは、あなたのコードをサービス側の時計から導かれたコードと比較します。 システム時刻がわずか30秒でもずれていれば、2つは食い違ってしまいます。OS の時刻を自動同期に設定し （Windows なら日付と時刻の設定にある「今すぐ同期」、macOS なら「日付と時刻を自動的に設定」）、 次のコードで再試行してください。

QRコードが読み取れない。「スキャンできない場合」のリンクから、代わりに セットアップキーを表示させてください — テキストの鍵のほうが、画面を撮影するより常に確実です。 スクリーンショットしかない場合は、QRコードの部分だけに切り取ってください。圧縮が強い画像や斜めの 撮影は、しばしばデコードに失敗します。

鍵のあるスマホを失くした。このツールが作られたときに想定されたのは、まさにその状況です。 原本のシークレットをパスワードマネージャーに保管してあったなら — あるいはスマホがまだ使えたときに ここへ貼り付けてあったなら — どのコンピュータでもコードを再生成できます。スマホなし、復元なし、 サポートチケットなしで。

身につけておきたい2つの習慣

2FAを有効にしたときには、サービスのリカバリーコードをオフラインで保存しましょう。 シークレットを保管した端末を失ったとき、それが命綱になります。そして、ライブの2FAコードを共有対象とは 決して考えないこと。サポート担当者も、銀行も、取引所も、頼んでもいないのにあなたの現在のコードを 必要とすることはありません。コードが役に立つのは、あなただけが選んだログイン画面の、その30秒の 有効期間だけなのです。