（※この記事は、2024年2月14日に更新されました。）
パスワードを覚えたり入力したりすることなく、お気に入りのWebサイトにログインできたらいいのに、と思ったことはありませんか？それを実現する一つの方法がマジックリンクです。マジックリンクは、メールアドレスだけでユーザーを認証する簡単な方法です。
本記事では、そもそもマジックリンクとは何か、利用方法や安全性、長所・短所について解説します。
【目次】
マジックリンクとは？
マジックリンクは、パスワードなしでアカウントにサインインする方法であり、そのプロセスは、以下のように「パスワードを忘れた場合」をクリックした場合と似ています。
- サインインフォームにメールアドレスを入力する。
- 「メールアドレスでサインイン」（または「マジックリンクを送信」など、様々な文言あり）をクリックする。
- 受信メールを確認し、リンクをクリックするか、コードを入力してサインインする。
これでサインイン完了です！リンクは使い捨てで、通常は一定の時間が経過すると失効します。下の Slack で使われているようなマジックコードの場合、コードはリクエストを送信したブラウザセッションでのみ機能し、そのウィンドウを閉じて再度サインインしようとすると、新しいコードが送信されます。
Slack は、マジックリンク（またはコード）を採用した代表的なプラットフォームのひとつです。
なぜ企業は顧客にパスワードの代わりにマジックリンクを使ってサインインさせるのでしょうか？
皆さんは、おそらくオンラインアカウントを数多く持っていると思います。そして、それぞれのアカウントにはユニークで複雑なパスワードが設定されるべきですが、パスワードマネージャーなしでは、各オンラインサービスに安全なパスワードを作成するのは不可能です。
今は無料で手軽に使えるパスワードマネージャーが多く出回っているので、それを使うのが最善策なのは言うまでもないです。しかし、デベロッパーは顧客にパスワードマネージャーをダウンロードして、適切なパスワード管理を行うよう強制することはできません。
そこで登場するのがマジックリンクです。
マジックリンクは、顧客の間違ったパスワードの管理習慣を問題にせず、途中で「パスワードを忘れた」というイライラする経験を解消することを目標としています。
では、マジックリンクは有効なのでしょうか？
マジックリンクはパスワードよりも優れているの？
マジックリンクはより広く使われるようになりましたが、普及にはまだまだ程遠いです。以下で、マジックリンクの長所と短所を見てみましょう。
長所：
- 顧客はパスワードの管理が不要。つまり、パスワードを連続で間違えてロックアウトされたり、パスワードを９０日ごとに変更したり、リセットする必要はなく、他のアカウントで使われているパスワードを使い回したためにハッキングされるということもない。
- サポートはトラブルシューティングがしやすい。ユーザーがメールでマジックリンクを受け取らなかった場合、間違ったメールアドレスの入力か、マジックリンクがスパムになった（または完全にブロックされた）かのどちらかであり、いずれにせよ、サポートは 「正しいパスワードが使えない」というクレームを聞くことがなくなる。
- 適切に保護されたメールがある顧客のみに対応。多くの人がパスワードを使い回しているが、パスワードマネージャーやジェネレータの使用を強制することはできない。使い捨てリンクであれば、サイバー犯罪者が複数のロックを解除できることを期待して多数のアカウントで 単一のパスワードを使用する「クレデンシャルスタッフィング攻撃」の危険性がなくなる。また、サイバー犯罪者が被害者を騙して重要な情報を提供させるフィッシング攻撃の危険性もなくなる。
短所：
- 上記の「長所」の逆で、マジックリンクはユーザーのメールと同じくらいの安全性しかない。サイバー犯罪者が顧客のメールを巧くハッキングできたら、一巻の終わりである。そのため顧客は、２FA（二要素認証）や強力でユニークなパスワードを使って、自分のメールにアクセスできるデバイスとそのデバイスの場所を確実に把握する必要がある。
- ネットワークのセキュリティに依存する。顧客が安全でない無線 LAN を使っている場合、サイバー犯罪者は中間者攻撃を使ってセッショントークンを傍受する可能性がある。
- スムーズにいかないとイライラする。マジックリンクが迷惑メールに入れられたり、表示されるまでに数分かかることがある。また、メールがサインインされていないデバイスでログインする場合は、ログインが必要であり、その際、2FA に携帯端末が必要になる可能性がある。
- パスワードと同じように、管理者はリンクやコードが誰とどのように共有されるかをコントロールすることはできない。
マジックリンクの安全性
あらゆるセキュリティ対策と同様、その有効性は使い方次第です。マジックリンクで、（フィッシングやクレデンシャルスタッフィング攻撃などの）パスワードに内在する特定のサイバーセキュリティ問題がなくなる一方で、セキュリティ上のリスクは顧客のメールに委ねられます。そして、メールのセキュリティはパスワード衛生と密接に結びついているため、適切なパスワードの習慣が実践されなければ、マジックリンクを使っても何の役にも立ちません。そのため、マジックリンクを使用する場合は以下を行うべきです。
- 安全なメールプロバイダを使って、2FAを有効にする。
- アクティビティログをチェックし、必ず認識されたデバイスだけがメールにアクセスできるようにして、新しいデバイスがサインインしたときに必ず通知されるようにする。
- 暗号化されたネットワークのみを使う。
いい面としては、メールをハッキングしない限り、他のアカウントから盗まれたパスワードでサイバー犯罪者がマジックリンクを突破することはなく、メールのパスワードをフィッシングしない限り、パスワードをフィッシングしようとしても意味がありません。
マジックリンクの安全性は、その設定方法にもよります。ここでは、デベロッパーがマジックリンクをプログラムしてサインインプロセスの安全性を上げる方法をいくつかご紹介します。
- 使い捨てのマジックリンクやコード
- 有効期限が短いリンクやコード
- リクエストされたのと同じブラウザで開かれるべきリンク
このような機能の中には、顧客のマジックリンクメールが即座に届かなかった場合や、顧客がアプリケーションを使おうとしているコンピュータとは別のコンピュータでメールがサインインしている場合など、UX（ユーザーエクスペリエンス）に潜在的な摩擦をもたらすような代償を伴うものもあります。セキュリティと使いやすさは常に密接関係にあるのです。
パスワードマネージャーの使用
パスワードの代わりにマジックリンクを採用している著名な企業もありますが、ほとんどのオンラインアカウントでは依然としてパスワードが必要です。ログイン情報をパスワードマネージャーに保存しておけば、万が一メールが漏洩しても被害を最小限に抑えることができます。パスワードマネージャーを使わない人は、パスワードを使い回したり、Excel や Google のスプレッドシートに保存したりしたくなるものですが、それらの行動はリスクが大きいので避けましょう。
個人用のパスワードマネージャーが必要な場合は、無料のオプションがあります。ビジネス用のものが必要な場合は、最善策の一つとして TeamPassword があります。TeamPassword を使うことで、暗号化された環境を離れることなく、パスワードなどの認証情報の保存、更新、共有を簡単にできます。
まとめ
マジックリンクは、覚えにくそうな複雑なパスワードを作らされるイライラを解消することを目的としています。マジックリンクで特定のサイバー攻撃やパスワードの使いまわしのリスクがなくなりますが、ユーザーのメールの安全性に左右されることに変わりはありません。もし Web サイトやアプリケーションに強度なセキュリティが必要であれば、マジックリンクはあまり良い選択ではないかもしれませんが、顧客のログインまでのプロセスを効率化し、「パスワードを忘れた」というイライラを最小限に抑えたいのであれば、マジックリンクが有効な手段となるでしょう。
