ログイン画面にメールアドレスを入れると、6桁ほどのコードが届き、それを入力すればログインが完了する──パスワードを使わないこの方式は「OTPログイン」や「パスワードレス認証」と呼ばれ、近年さまざまなサービスで採用されています。
KeyCenterで取り扱っている「ドメインメール（OTPログイン）」も、この仕組みで受信箱に入る方式です。パスワード管理の手間がない反面、コードの期限や利用期間など、通常のメールアカウントとは異なる点があります。仕組みを知っておけば、受信が必要な場面で慌てずに済みます。
この記事でわかること
- OTP（ワンタイムパスワード）ログインの基本的な流れ
- メールで届くコードと、認証アプリのコードとの違い
- ドメインメールをOTPで使うときの注意点と、正しい使いどころ
OTPとは「一度しか使えないパスワード」
OTP（One-Time Password）は、1回のログインのためだけに発行される使い捨ての認証コードです。たとえ第三者に見られても、一度使えば無効になり、時間が経てば期限切れになるため、固定のパスワードより盗まれたときの被害を小さくできます。
OTPの届け方にはいくつか種類があります。
| 方式 | コードの届き方 | 主な用途 |
|---|---|---|
| メールOTP | 登録したメールアドレスに届く | パスワードレスログイン、本人確認 |
| SMS OTP | 電話番号にショートメッセージで届く | 2段階認証、本人確認 |
| 認証アプリ（TOTP） | アプリが30秒ごとに自動で生成する | 2段階認証 |
| マジックリンク | コードの代わりにログイン用URLが届く | パスワードレスログイン |
認証アプリ型のTOTPは、ネットワークに頼らず端末内でコードを作るのが特徴です。仕組みの詳細は認証アプリ（TOTP）の仕組みと使い方で解説しています。
メールOTPログインの流れ
- ログイン画面でメールアドレスを入力し、「コードを送信」を押す
- サーバーがランダムなコードを生成し、有効期限とともに記録する
- そのメールアドレス宛てにコードが送られる
- 受け取ったコードを画面に入力する
- サーバーがコードと期限を確認し、正しければログイン状態（セッション）を発行する
この方式では「そのメールアドレスの受信箱を確認できること」が、本人であることの証明になります。つまり、受信箱にアクセスできる状態を保つことが何より大切です。
なお、コードの入力画面を閉じたり、別のタブで改めてコードを送信したりすると、最初に届いたコードが無効になることがあります。コード送信後は、入力画面を閉じずに受信を待つのが確実です。
ドメインメールとは
ドメインメールとは、gmail.comやoutlook.comのような大手の無料ドメインではなく、事業者などが独自に取得したドメイン（例：abc@example.jp の「example.jp」部分）で発行されるメールアドレスです。
KeyCenterで扱うドメインメール（OTPログイン）は、受信専用の期間限定アドレスとして提供されるタイプで、次のような特徴があります。
- パスワードはなく、ログインのたびにOTPで受信箱に入る
- 6時間・12時間・1日・2日など、利用できる期間が決まっている
- Gmailではないため、Gmailの機能（Googleドライブ等）は使えない
- ログインに必要な情報は、購入後の注文詳細ページに表示される
独自ドメインのアドレスでも、Google Workspaceを使えばGmailの画面で運用できます。ドメインとGmailの関係はGmailと独自ドメインの違いで整理しています。
コードの有効期限と利用期間は別物
OTPログインで混乱しやすいのが、2種類の「期限」です。
- コードの有効期限：送信されたコードが使える時間。多くのサービスで数分〜15分程度に設定されます
- アドレスの利用期間：そのメールアドレス自体を使える期間（商品ごとに異なる）
コードの期限が切れた場合は、もう一度送信し直せば問題ありません。一方、アドレスの利用期間が終わると、受信箱そのものに入れなくなります。期間内に必要なメールを受け取り終えるよう、余裕をもって選ぶのがポイントです。
OTPログインを安全に使うためのポイント
OTPログインは仕組みがシンプルなぶん、狙われるポイントもはっきりしています。攻撃者がパスワードを盗む代わりに狙うのは「届いたコード」そのものです。電話やチャットで「確認のためにコードを教えてください」と頼んでくる手口は、どのサービスでも典型的な詐欺の手法として注意喚起されています。次の点を習慣にしておきましょう。
- コードは誰にも伝えない：サポート担当者を名乗る相手からコードを聞かれても、絶対に教えないでください。正規のサービスがコードを尋ねることはありません
- 心当たりのないコードは無視する：自分が操作していないのにコードが届いた場合、第三者がログインを試みている可能性があります
- コードは届いたらすぐに使う：期限が短いので、入力画面を開いたまま受信を待つとスムーズです
- 重要な個人情報は受け取らない：期間限定のアドレスは、あとから見返せなくなる前提で使います
コードを聞き出そうとする手口は、フィッシングの典型例でもあります。見分け方はフィッシングメールの見分け方を参考にしてください。
パスワードログインとの比較
OTPログインは、パスワードを覚えなくてよい点が注目されがちですが、それ以外にも性質の違いがあります。どちらが優れているというより、何を重視するかで向き不向きが分かれます。
| 観点 | パスワードログイン | メールOTPログイン |
|---|---|---|
| 覚えておくもの | パスワード | なし（受信箱にアクセスできればよい） |
| 使い回しによる被害 | 他サービスの漏えいで突破されることがある | 固定の秘密情報がないため起きにくい |
| ログインの手間 | 入力するだけで完了 | 毎回メールの受信を待つ必要がある |
| 弱点 | 推測・漏えい・フィッシング | 受信箱の乗っ取り、コードの聞き出し |
| 受信できないとき | パスワードがあればログインできる | ログインできない |
表のとおり、メールOTPの安全性は「受信箱を見られる人＝本人」という前提に支えられています。そのため、受信箱を守る仕組み（受信箱側の2段階認証や、コードを他人に見せない運用）とセットで考えることが大切です。
また、メールの到着に時間がかかる環境では、ログインのたびに待ち時間が発生します。短時間に何度もログインする作業では、ログイン状態を保ったまま作業を進めるなど、手順を工夫するとストレスが減ります。
向いている使い方・向いていない使い方
期間限定のOTPログイン型ドメインメールは、次のような正当な用途に向いています。
- メールマガジンや資料請求など、一時的に受信できれば十分な登録
- 自社サービスの会員登録メールや通知メールの表示確認（テスト）
- 本アドレスを公開したくない場面での、短期間のやり取り
一方で、長く使い続けるアカウントの登録や、金融・行政の手続きには向いていません。また、利用するサービスの規約で独自ドメインや一時アドレスでの登録が禁止されている場合は、規約に従ってください。KeyCenterでも、各サービスの規約に反する目的での利用はお控えいただくようお願いしています。
よくある質問
コードが届かないときはどうすればよいですか？
数分待ってから再送してください。何度も再送すると、送信制限がかかる場合があります。それでも届かない場合は、入力したアドレスに誤りがないか確認しましょう。詳しくは「認証メールが届かない原因のチェックリスト」の記事でまとめています。
OTPログインはパスワードより安全ですか？
使い回しや推測されやすいパスワードによる被害を防げる点では安全性が高いといえます。ただし、受信箱を他人に見られると突破されるため、コードを他人に伝えないことが前提です。
利用期間が終わった後に届いたメールは読めますか？
読めません。利用期間後は受信箱に入れなくなるため、必要なメールは期間内に受け取って内容を控えておいてください。
ドメインメールでGmailアプリは使えますか？
このタイプのドメインメールはGmailのアカウントではないため、Gmailアプリには追加できません。受信は注文詳細に記載された方法で行ってください。
まとめ
- OTPログインは、メールに届く使い捨てコードで本人確認する仕組み
- 「コードの有効期限」と「アドレスの利用期間」は別物
- コードは誰にも教えず、届いたらすぐに使う
- 一時的な受信やテストなど、規約の範囲内の用途に向いている
利用期間別のアドレスは、ドメインメール（OTPログイン）のカテゴリでご確認いただけます。
