認証アプリのQRコードを安全にスキャンする

認証アプリ用のQRコードには、その下に表示される共有シークレットと同じ値が含まれています。どちらかをコピーした人は今後のコードを生成できるため、設定画面はパスワードと同様に扱ってください。

手順

1. 自分だけが使えるデバイスでプロフィール → パスワードと2FA → 認証アプリを有効化を開きます。
2. dosyaはotpauth URIからブラウザ内でQRコードを描画します。外部のQR画像サービスには送信されません。
3. 自分が管理する認証アプリでスキャンします。スキャンできない場合は、表示されたシークレットを手動で入力してください。
4. 認証アプリの項目にdosya.devとアカウントのメールアドレスが表示されていることを確認します。URIにはSHA-1、6桁、30秒の周期が指定されています。
5. QRコードやシークレットをチャット、メール、チケット、スクリーンショットで送らないでください。QR画像は繰り返し使える認証情報であり、使い捨てのサインインコードではありません。
6. 6桁のコードに新しいコードを入力し、確認して有効化を選択します。dosyaは時刻のずれに対応するため、前後それぞれ1つの30秒の時間枠を受け付けます。
7. リカバリーコードが表示されたら別の場所に保存し、完了でダイアログを閉じます。

確認前にQRコードが漏えいした場合は、キャンセルして設定を開き直し、別のシークレットを生成してください。有効化後に漏えいした場合は、管理された環境で無効化してから再度有効化し、認証方法を交換してください。

完了後の状態

認証アプリが生成するコードをdosyaが確認でき、QRコードは管理下の設定用デバイスから外へ出ず、設定画面に認証アプリバッジが表示されます。確認して有効化を使わずにスキャンするだけでは2FAは有効になりません。

関連ガイド

• 2段階認証を設定する
• 2段階認証の復旧を使う