Gmailの2段階認証を設定するとき、QRコードの下に「スキャンできない場合」という小さなリンクがあります。そこを開くと表示されるのが、英大文字と数字が並んだ32文字前後の文字列、いわゆるシークレットキー（Googleの画面では「セットアップキー」）です。
このキーさえあれば、QRコードを読み取れない環境でも認証アプリに登録できます。逆に言えば、キーが第三者に渡るとログイン用の確認コードを作られてしまう、非常に重要な情報でもあります。
この記事では、シークレットキーの正体と認証アプリへの登録手順、コードが通らないときに確認すべきポイントを、実際の操作の順番どおりに整理しました。
この記事でわかること
- シークレットキーと6桁の確認コードの関係
- Google Authenticator などの認証アプリに手動で登録する手順
- 「コードが正しくありません」と出るときの原因と直し方
- キーとバックアップコードの安全な保管方法
シークレットキーとは何か
シークレットキーは、あなたのアカウントと認証アプリだけが共有する「合言葉の種」です。認証アプリはこのキーと現在時刻を組み合わせて、30秒ごとに新しい6桁の数字を計算します。Google側も同じキーと同じ時刻から同じ計算をしているため、両者の数字が一致すればログインが許可されます。
この仕組みはTOTP（時刻ベースのワンタイムパスワード）と呼ばれる標準規格で、Googleに限らずMicrosoftやSNSなど多くのサービスで使われています。仕組みをもう少し詳しく知りたい方は認証アプリ（TOTP）の仕組みと使い方もあわせてご覧ください。
QRコードとキーは同じもの
設定画面に出るQRコードは、このシークレットキーにアカウント名などの情報を付けて画像化したものです。QRを読み取っても、キーを手で入力しても、認証アプリに登録される中身は同じです。
認証アプリにキーを手動で登録する手順
ここではGoogle Authenticatorを例にします。Microsoft Authenticatorや1Passwordなど、TOTPに対応したアプリであれば項目名が少し違うだけで流れは同じです。
Googleアカウント側の操作
- パソコンのブラウザで Googleアカウント（myaccount.google.com）を開き、「セキュリティ」を選びます。
- 「2段階認証プロセス」を開き、本人確認のためにパスワードを入力します。
- 「認証システム」または「認証システム アプリ」の項目から追加を選びます。
- QRコードが表示されたら、その下の「スキャンできない場合」をクリックします。
- 表示されたキーを控えます。スペースは入力しなくても問題ありません。
認証アプリ側の操作
- アプリを開き「＋」から「セットアップキーを入力」を選びます。
- アカウント名には、あとで区別できる名前（例：メールアドレス）を入れます。
- キー欄にシークレットキーを入力し、種類は「時間ベース」のままにします。
- 追加すると6桁の数字が表示されます。この数字をGoogleの確認欄に入力すれば登録完了です。
2026年10月時点の画面では上記の名称ですが、Googleは項目名を変更することがあります。見当たらない場合は、Googleアカウントの検索窓に「認証システム」と入力すると該当ページに移動できます。
「コードが正しくありません」と出るときの確認点
手動登録で最も多いのが、数字を入れても通らないケースです。原因はほぼ次の4つに絞られます。
| 症状 | 考えられる原因 | 直し方 |
|---|---|---|
| 何度入れても通らない | スマホの時刻が数十秒以上ずれている | 端末の「日付と時刻」を自動設定にする |
| 一度も通らない | キーの写し間違い（0とO、1とIなど） | アプリから削除し、キーをコピー＆ペーストで再登録 |
| たまに通る | 数字が切り替わる直前に入力している | 表示が更新された直後の数字を使う |
| 別のアカウントで通らない | アプリ内で違うアカウントのコードを見ている | アカウント名で区別できるよう登録し直す |
時刻のずれは見落としがちです。TOTPは30秒単位で数字が変わるため、端末の時計が1分近くずれていると正しいキーでも一致しません。手動で時刻を設定している端末は、自動設定に切り替えるだけで解決することがよくあります。
ブラウザでコードを表示するサイトの扱い
シークレットキーを貼り付けるとその場で6桁のコードを表示してくれるWebサイトもあります。キーの動作確認には便利ですが、そのサイトの運営者がキーを受け取れる状態になる点には注意が必要です。
日常的に使うアカウントであれば、確認が済んだ時点で信頼できる認証アプリへ登録し、以後はアプリだけでコードを表示する運用をおすすめします。キーを入力したサイトの安全性が確認できない場合は、2段階認証を一度オフにして新しいキーを発行し直すと、古いキーは使えなくなります。
バックアップコードと保管方法
スマホの紛失や機種変更に備えて、Googleの「バックアップコード」も必ず控えておきましょう。2段階認証プロセスの画面から発行でき、1回ずつ使える8桁のコードが10個表示されます。
- シークレットキーとバックアップコードは、パスワードと同じメモに書かない
- パスワードマネージャーに保存する場合は、マネージャー自体にも2段階認証をかける
- 紙で保管する場合は、アカウント名とセットで鍵のかかる場所に置く
- 使ったバックアップコードは無効になるため、残りが少なくなったら再発行する
パスワードマネージャーを検討している方はパスワードマネージャーの選び方で比較ポイントをまとめています。
機種変更するときの注意
新しいスマホに切り替えるときは、古い端末を初期化する前に認証アプリの移行を済ませてください。Google Authenticatorには「アカウントを移行」機能があり、QRコード経由で複数アカウントをまとめて移せます。
移行機能が使えない場合でも、控えておいたシークレットキーがあれば新しい端末に手動で登録し直せます。キーもバックアップコードも手元にない状態で端末を初期化すると、ログインに時間がかかるアカウント復旧の手続きが必要になるため注意しましょう。
認証アプリの選び方と複数アカウントの整理
TOTPに対応していれば、どの認証アプリでもGoogleの2段階認証に使えます。違いが出るのは、端末をなくしたときの備えと、アカウントが増えたときの見やすさです。
| 確認ポイント | 見るべき内容 |
|---|---|
| バックアップ | クラウド同期や暗号化エクスポートがあるか。同期する場合はその保存先の保護も必要 |
| 端末ロック | アプリを開くときに生体認証やPINを要求できるか |
| 並べ替え・検索 | 登録数が10件を超えても目的のアカウントをすぐ探せるか |
| 移行のしやすさ | 機種変更時にまとめて移せる機能があるか |
複数のGoogleアカウントを登録する場合は、アプリ上の表示名を「メールアドレス」か「用途＋アドレスの一部」に統一しておくと、取り違えによる入力ミスを防げます。アプリによってはアイコンや並び順を変えられるので、よく使うものを上にまとめておくと便利です。
また、使わなくなったアカウントの登録は放置せず削除しておきましょう。不要なコードが並んでいると、急いでいるときに別のアカウントのコードを入力してしまう原因になります。削除する前に、そのアカウントの2段階認証が別の手段に切り替わっているかを必ず確認してください。
よくある質問
シークレットキーは何文字ですか？
Googleでは通常、4文字ずつ区切られた32文字の英字と数字で表示されます。区切りのスペースは入力しなくても認識されます。
同じキーを2台のスマホに登録できますか？
できます。同じキーを登録すれば、どちらの端末にも同じ6桁が表示されます。ただし登録先が増えるほど漏えいの機会も増えるため、予備端末は自分で管理できる範囲にとどめてください。
キーを他人に見られたかもしれません。どうすればいいですか？
2段階認証プロセスの画面で認証システムを削除し、新しく設定し直してください。新しいキーが発行され、古いキーから作られるコードは使えなくなります。あわせてパスワードの変更もおすすめします。
SMSの確認コードと認証アプリはどちらが安全ですか？
一般的には認証アプリのほうが安全とされています。SMSは電話番号の乗っ取り（SIMスワップ）の影響を受ける可能性があるためです。両方を設定しておき、普段は認証アプリを使う形が現実的です。
まとめ
- シークレットキーは認証アプリが6桁のコードを作るための「種」で、QRコードと中身は同じ
- 手動登録は「セットアップキーを入力」から行い、種類は時間ベースを選ぶ
- コードが通らない原因の多くは端末の時刻ずれとキーの写し間違い
- キー・バックアップコード・パスワードは別々に保管する
2段階認証キー付きのGmailをお使いの方は、受け取り後に上記の手順で認証アプリへの登録を済ませておくと安心です。取り扱い商品はGmailカテゴリでご確認いただけます。
