アカウントを守る

パスキーは、端末がすでに使っている指紋・顔・画面ロックを、パスワードの代わりに使う仕組みです。端末から出ていかないので、漏れるものも、使い回すものも、騙し取られるものもありません。

実際にサインインする端末ごとに 1 つ追加します。それぞれ別に一覧されるので、古いノートパソコンや手放した端末など、1 つだけを他に影響させずに削除できます。

認証アプリの 6 桁のコードを要求することもできます。設定を始めると読み取る QR コードが表示され、続いてコードを 1 つ入力するよう求められます。有効にする前に、アプリと sizuq の認識が一致していることを確かめるためです。

有効にすると、先に知っておきたい影響が一つあります。Google でのサインインが使えなくなります。手元のアプリが出すコードは、第三者が本人を保証するより強い証明なので、sizuq はそのあとで弱いほうを黙って受け入れることをしません。

認証アプリを有効にすると、一度きりのリカバリコードが一組渡されます。アプリの入った端末を失った日のために用意されています。

1. 認証アプリが動いている端末とは別の場所に保管します。
2. 各コードは一度だけ使え、使った時点で消費されます。
3. 使い切ったり失くしたりしたら、新しい一組を生成します。古いほうはその場で使えなくなります。

すでにサインインしているのに、もう一度本人であることの証明を求められる操作があります。不具合ではありませんし、セッションが切れたからでもありません。

サインインしたまま開かれたブラウザは、その前に座った人がそのまま引き継げるブラウザです。取り消せない操作や、入り方そのものを変える操作については、sizuq はセッションが有効であることではなく、その人がそこにいることを求めます。

一度確認すればその後 10 分は有効なので、設定を続けて変えるあいだ何度も聞かれることはありません。サインアウトすればその場で終わり、パスワードを変えたときも同じです。裏付けとなる資格情報が変わった以上、古い証明には価値がありません。

設定には、サインインとセキュリティ変更の短い履歴が残ります。心当たりのない試みが、黙って通り過ぎるのではなく目に見えるようにするためです。

記録されるのは、何が起きたかと、おおよそどこからかです。アドレスそのものは記録しません。sizuq が持つのは値ではなくその指紋で、二つの場所を区別するには十分でありながら、どこにいたかを抱え込まずに済む形です。