本日 Product Hunt に掲載中です！ コメントを書く
Authenticator 1.16.0 をリリースしました。 変更点を見る
2 段階認証の設定、端末間でのアカウントの移行、コードが拒否されたときの対処法。
アカウントの追加方法は四つあります:
保護したいサービス（Gmail、GitHub、銀行など）から手に入ります。この拡張機能からではありません。拡張機能が QR コードや鍵をメールや SMS で送ることはありません。サービスが表示したものを読み取って、コードに変えるだけです。
いいえ、許可するものは何もありません。この拡張機能は、事前にどのウェブサイトへのアクセスも求めません。Chrome が拡張機能にページを見せるのは、あなたがそのページで拡張機能を使ったその瞬間だけです:
•「画面からQRをスキャン」は、クリックしたときに目の前のページをキャプチャします。アクセス権は、そのページでツールバーのアイコンから拡張機能を開いたことで与えられます
そのため、Chrome のこの拡張機能の「サイトへのアクセス」メニューでオンにするものはなく、「すべてのサイト」も必要ありません。
「画面からQRをスキャン」でページをキャプチャできなかったと表示される場合:
「カメラでQRをスキャン」は仕組みが違います。カメラの使用許可を求めるページが開きます。「ブロック」をクリックしてしまった場合は、Chrome のサイト設定（アドレスバー左端のアイコン）でそのページのカメラを許可してから、もう一度試してください。
ウェブサイト上で拡張機能を開くと、そのサイトに合うアカウントが強調表示され、「おすすめ」と表示されます。探す手間を省くためです。また、各サイトでどのアカウントを使ったかも記憶します。
オフにするには：設定 →「ブラウザ」→「このサイトのアカウントを提案」。オフにすると、記憶した内容も消去されます。
読み取るのは開いているタブのアドレスだけで、それも拡張機能を開いている間だけです。どの情報も当方のサーバーには送信されません。
はい。アカウントをサイトに紐づければ、そのサイトでは常にそのアカウントが提案されます。
そのサイトではアカウントが「このサイト用」の下、リストの一番上に表示され、コード欄を右クリック →「2FAコードを入力」で確認なしに入力されます。
サイトはそのサブドメインも対象にし、最も具体的なものが優先されます。あるアカウントを example.com に、別のアカウントを admin.example.com に紐づけると、admin.example.com では 2 つ目だけ、example.com とほかのサブドメインでは 1 つ目だけが表示されます。サイトを紐づけたアカウントは、ほかのサイトでは提案されません。
入力ではなくコピーしたいときは、ページの別の場所を右クリック →「このサイトの2FAコードをコピー」。
サイトはお使いのパソコン上のアカウント内に保存され、パスワード保護がオンならアカウントと一緒に暗号化され、当社のサーバーに送られることはありません。
たいていの場合、コード自体は正しいものです。ただ、ウェブサイトが待っているのとは別の QR コードのコードになっています。時刻は拡張機能が自分で確認しているので、パソコン側で変える設定はありません。
よくある原因と対処法：
コードが切り替わる直前なら、次のコードを待ってください。古い項目を削除する前に、まずバックアップをエクスポートしてください（設定 →「エクスポート」）。拡張機能自体が時刻についての警告を表示している場合は、その指示に従ってください。
アカウントをバックアップする手順:
暗号化されるのは最初の一つだけです。残る三つは秘密鍵がそのまま書かれており、そのファイルを持つ人は誰でもあなたの2FAコードを生成できます。
バックアップからアカウントを復元する手順:
リンクをファイルではなくテキストで持っている場合は、設定 →「リンクを貼り付け」がそのまま受け付けます。
注意: これは既存のアカウントに追加されるもので、置き換えではありません。
はい。同じ Google アカウントで Chrome にログインしているパソコンなら、どれでも使えます:
設定に「同期するにはアカウントが多すぎます。このパソコンにのみ保存されます」と表示される場合、Chrome の同期ではその数を運べません。手動で移してください: 一台目で 設定 →「エクスポート」、もう一台で「インポート」。パスワードで保護したファイルが最も安全です。
スマートフォン版はありません。スマートフォンの Chrome は拡張機能に対応していないためです。スマートフォンでもコードを使いたい場合は、サービスで二段階認証を設定するときに、その QR コードをスマートフォンの認証アプリでも読み取ってください。どちらにも同じコードが表示されます。
Mac では Mac アプリ（authenticator.sh/mac）も使えます。拡張機能とは同期しません。アカウントを一度移すか、ファイルをエクスポートしてインポートすれば、その後はそれぞれが別々のリストを持ちます。
あります。Authenticator for Mac は無料のメニューバーアプリで、画面・言語・グループ・インポートとエクスポートは拡張機能と同じです。さらに:
macOS 13 Ventura 以降が必要で、Appleシリコンと Intel の Mac で動きます。authenticator.sh/mac からダウンロードできます。Windows 版とスマホ版はありません。
使えます。1 つのユニバーサルアプリで、Appleシリコン（M1 以降）と Intel の Mac の両方でネイティブに動きます。macOS 13 Ventura 以降が必要です。それより古い macOS では Chrome 拡張機能をお使いください。
同じ Mac なら 1 ステップです:
アプリはこの Mac のブラウザプロファイルにある拡張機能のデータからアカウントを読み取ります。当方のサーバーは経由しません。Chrome、Brave、Edge、Arc、Vivaldi の拡張機能に対応しています。拡張機能のアカウントはそのまま残り、以降はそれぞれが別々のリストを持ちます。
別のパソコンから移す場合: 拡張機能でファイルをエクスポートし（設定 →「エクスポート」）、Mac アプリでインポートします（設定 →「インポート」）。
どの権限も 1 つの機能のためだけのもので、すべて任意です:
macOS はそれぞれの機能を初めて使うときに確認します。どの権限も「システム設定」→「プライバシーとセキュリティ」でオフにできます。
誤ってアカウントを削除した場合:
自動バックアップは拡張機能の中に保存されています。拡張機能を削除したりブラウザのデータを消去したりすると、自動バックアップも消えます。アカウントを取り戻すために再インストールはしないでください。
TOTP コードは端末の時計から生成されるため、実際の時刻から 30 秒ほど以上ずれるとサービスにコードを拒否されます。
直し方：
同期後に拡張機能を開き直すと、警告が消えてコードが再び受け付けられます。直すのは端末の時計だけで、コード自体は変わらずオフラインで生成されます。
いずれも詳細設定です（通常は既定値のままで問題ありません）。
ほとんどのサービスは SHA1・6 桁・30 秒を使用しています。
アカウントはお使いのブラウザに保存されます。保存先はお使いの端末の中と、同期をオンにしている場合はご自身の Google アカウントの Chrome 同期です。秘密鍵、アカウント名、コードが当方に届くことはありません。
既定では、コードは暗号化されずに保存され、パソコンのログインと Chrome プロファイルによって保護されます。これはほとんどの認証アプリ拡張機能と同じです。より強力に保護したい場合は、設定でパスワード保護を有効にしてください。バックアップも含めてコードが端末上で暗号化され、パスワードなしでは読めなくなります。
なお、拡張機能は無料プランと Pro のために、1 日 1 回当方のサーバーと通信します。送るのは匿名の ID といくつかの数値だけで、アカウントの中身は一切送りません。送信する内容の全一覧は、下の「拡張機能はサーバーに何を送信しますか？」にあります。
無料プランと Pro を機能させるため、拡張機能は 1 日 1 回、当方のサーバー api.authenticator.sh と通信します。送信する内容は次のとおりです：
当方のサーバーはリクエストから国を割り出しますが、IP アドレスは保存しません。
秘密鍵、アカウント名、発行元、コード、コードを使うサイトが送信されることはありません。アンインストールすると、フィードバックページに同じ ID が渡されます。ページは開いた時点で、そのインストールが削除されたことを当方のサーバーに伝え、回答した場合はその回答もインストールと結び付けられます。詳しくはプライバシーポリシーに記載しています。送信内容を組み立てるコードもオープンソースで公開しています。
設定を開き「パスワード保護」をオンにします。以後コードはこの端末上で暗号化され、パスワードなしでは誰も読めません。あなたのパソコンを使う人にも、ブラウザのデータを盗むウイルスにも、Google アカウントの同期経由でも読めません。
併せて復旧コードが発行されます。このブラウザの外に保管してください。パスワードを忘れた場合に戻る唯一の手段であり、当方でリセットすることはできません。
パスワードを尋ねる頻度は選べます：毎回、数分操作しなかったあと、またはブラウザを閉じるまで 1 回。保護はパスワードを使っていつでも解除できます。
はい。Google Authenticator はアカウントをスマートフォン上の QR コードとしてエクスポートし、拡張機能はそれをパソコンのカメラで読み取ります:
パソコンにカメラがない場合は、別のスマートフォンやカメラで QR コードを撮影し、その画像をパソコンに送って、アカウント追加 → QRコード →「画像を選択」を使ってください。スクリーンショットは使えません。Android ではこのエクスポート画面のスクリーンショットが Google によって禁止されているため、撮影できるのは二台目の端末だけです。「画面からQRをスキャン」もここでは役に立ちません。読み取れるのはこのパソコンの画面に表示されたコードで、スマートフォンの画面ではないからです。
二台目の端末もない場合は、サービスごとに一つずつ登録し直します。サイトで二段階認証をいったんオフにしてすぐオンに戻し、アカウント追加 → QRコード →「画面からQRをスキャン」を使ってください。
転送リンクをすでにテキストで持っている場合 — otpauth-migration:// で始まります — 設定 →「リンクを貼り付け」に貼るだけです。
拡張機能のコードが受け付けられるまで、Google Authenticator はスマートフォンに残しておいてください。
はい。ほとんどの認証アプリがエクスポートできるファイルから取り込めます。拡張機能で 設定 →「インポート」を開き、そのファイルを選んでください:
ほかのアプリ（Proton Authenticator、Bitwarden、andOTP など）のパスワードで保護されたバックアップはここでは開けません。パスワードなしでもう一度エクスポートしてください。このファイルには秘密鍵が暗号化されずに入っているので、アカウントを拡張機能に取り込んだらすぐに削除し、拡張機能のコードが受け付けられるまで元のアプリは残しておいてください。
Google Authenticator はファイルをエクスポートしません。「Google Authenticator から移行できますか？」をご覧ください。
この拡張機能にアクセスできなくなり、バックアップもない場合：
予防：定期的にバックアップをエクスポートし、安全に保管してください。
はい、利用は無料です。拡張機能は無料でインストールでき、無料プランでもクラウドバックアップ以外のすべての機能を使えます：
上限は、当方のサーバーが最後に署名したポリシーをもとに、お使いのパソコン上で確認されます。そのため、拡張機能がすでに受け取った上限は、オフラインでも適用されます。拡張機能が一度サーバーに接続するまでは、何も制限されません。
アカウント数無制限とクラウドバックアップです。それ以外は Pro があってもなくても同じように使えます。
キーは、お支払い後に届いたメールに記載されています。また、決済が完了したときに開いたページにも表示されていました。
見つからない場合は、キーが必要なパソコンで拡張機能を開き、設定 → Pro →「Pro を入手」→「購入を復元」に進んでください。お支払いに使ったメールアドレスを入力すると、そのアドレスにキーが再送されます。同じボタンは、無料プランの上限に達したときに表示される画面にもあります。
メールが届かない場合は、お支払いに使ったアドレスから support@authenticator.sh までご連絡ください。キーをお送りします。秘密鍵やバックアップファイルは決して送らないでください。この手続きには必要ありません。