リカバリーコードとは?安全な保管方法を解説

リカバリーコードとは何か、なぜ存在するのか

二要素認証（2FA）により、アカウントは格段に乗っ取りにくくなります。しかし新たな問題が生じます。第二の要素が使えないときはどうすればいいのでしょうか？ リカバリーコードはその答えです。

リカバリーコードは、アカウントで2FAを設定する際に発行される一回性のコードのセットです。各コードは一度だけ使用でき、通常の第二要素なしでサインインできます。アプリの通知もSMSも不要です。使用済みのコードは無効になります。

リカバリーコードが存在するのは、第二の要素は日常の中で使えなくなることがあるからです：

• スマートフォンの紛失、盗難、破損
• 機種変更時に認証アプリが消えてしまう
• 電話番号が変わり、SMSコードが届かなくなる

リカバリーコードがなければ、第二の要素を失うだけで自分のアカウントから締め出される可能性があります。場合によっては永久に。

名称についての補足：「バックアップコード」と呼ぶサービスもあれば、「リカバリーコード」、「リカバリーキー」などと呼ぶサービスもあります。呼び方は違っても考え方は同じです。安全に保管しておく、予備の一回使い切りサインインコードのセットです。

保存しないとどうなるか

スマートフォンを紛失したり、湖に落としたり、認証アプリを移行する前に新しいデバイスをセットアップしたりすると、TOTPコードも一緒に消えます。アプリを除外したバックアップからスマートフォンを復元したり、単にアプリを再インストールしたりしても、コードは同じように完全に消えることがあります。リカバリーコードがなければ、第二要素はただ失われます。

その後に続くのは、まずろくなことではありません:

• サポート経由の復旧: 本人確認書類を提出し、数日から数週間待っても、拒否されることがあります。二度とアクセスを取り戻せない人もいます。
• 永久ロックアウト: サービスによっては、人間による復旧手段がまったく用意されていない場合があります。コードが唯一の代替手段で、保存を怠った場合、アカウントには到達できません — メール、ファイル、サブスクリプション、その背後にあるすべてがです。

ロックアウトは都合の良いタイミングでは起こりません。たいてい、アカウントが緊急に必要な瞬間 — 確定申告の締め切り、求人応募、家族の写真 — に起こります。

リカバリーコードは、まさにこのシナリオのために存在します。バックアップのバックアップです。保存には2分しかかかりませんが、怠ればアカウントを永久に失うこともあります。

パスワードマネージャーでのリカバリーコードの保存

ほとんどのパスワードマネージャー — Bitwarden、1Password、KeePass などのツール — にはセキュアノート機能があり、ファイル添付も可能です。どちらでもリカバリーコードの保存に適しています。ノートを作成し、コードを貼り付け、「Google のリカバリーコード」のように分かりやすい名前を付けましょう。

この方法が優れている理由

• 暗号化された保存。 コードはパスワードと同じ暗号化で保護されます。
• 検索可能。 サービス名を入力すればコードが即座に表示されます — 引き出しを漁る必要はありません。
• デバイス間で同期。 スマートフォン、ノートパソコン、タブレットのどこからでもコードを利用できます。
• 新しいデバイスへの対応。 見慣れないデバイスからアカウントにサインインする際、まだ生成できない 2FA コードを求められることがあります。パスワードマネージャーに保存したリカバリーコードは、まさに必要なときにすぐそこにあります。

重要な注意点

マスターパスワードを忘れると、中のすべて — パスワードもリカバリーコードも — を失います。そのため、多くの人が保険として書き留めた控えを保管しています。次のセクションで説明します。

オフライン保存：紙と物理的なコピー

最も簡単なオフライン方法は、最も古くからある方法でもあります。コードを書き写すか印刷し、その紙を盗人がうっかり見つけにくい場所——家庭用金庫、施錠できる引き出し、耐火文庫箱など——に保管してください。

オフラインがセキュリティで優れている理由

紙には、あらゆるデジタルな選択肢に対する大きな利点が一つあります。ハッキングされる対象が存在しないことです。印刷した紙はデータ漏洩で流出することも、フィッシングで盗み取られることもなく、スマートフォンの電源が切れてもノートPCのドライブが故障しても機能し続けます。万一明日、デジタル上の生活全体が侵害されても、紙に書いたコードは安全なままです。

トレードオフ

紙の弱点は物理的なものです:

• 紛失や破損 — 火、水、そして忘れっぽさは、いずれも紙を駄目にします。湿気と熱を避けて保管し、別の場所に2枚目のコピーを作ることも検討してください。
• 他人に見つかる — 無記名のランダムなコードが書かれた紙を見つけた人は、それが何なのか気づくかもしれません。目立たない場所に保管し、できればサイト名を大きな文字で書かないようにしてください。

紙は合鍵と同じように扱ってください。隠し、保護し、人の目につく場所に決して置かないこと。

やってはいけないこと

リカバリーコードの安全性は、保存場所次第です。よくある間違いが、2FAの効果をすべて台無しにします。

平文と「便利な」場所

リカバリーコードを次の場所に保存しないでください:

• デスクトップ上の平文テキストファイル
• メールの下書きや自分宛のメール
• 暗号化されていないメモアプリ
• 強力な認証で保護されていないクラウドドライブ

受信トレイ、コンピューター、クラウドアカウントへのアクセスを得た者は誰でも、2FAを回避する近道を手にします — コードが防ぐはずのまさにそれです。

スクリーンショット

コードをスクリーンショットにしてカメラロールに保存しないでください。スマホの写真は自動的にクラウドストレージへ同期されることが多く、暗号化されていることはまれで、共有アルバム、修理業者、紛失したスマホなどで簡単に漏洩します。スクリーンショットはコピーの保存に思えますが、実際には公開です。

助けを求めるときにコードを共有する

サポートチケット、チャットメッセージ、フォーラムにリカバリーコードを貼らないでください — 自分の身元を証明するためでさえも。正規のサポート担当者がコードを求めることは決してありません。メッセージで共有されたコードは、コピー、転送、記録される可能性があり、パスワードと同じように機能します。

リカバリーコードの使用と再生成

各コードは1回のみ有効

リカバリーコードは使い切りです。一度サインインに使用したコードは無効になります。管理を徹底しましょう:紙に記録している場合は、使用するたびにそのコードを消してください。パスワードマネージャーに保存している場合は、使用済みのエントリを削除するか、はっきりと印を付けます。これにより、3つのコードを試した末に2つが既に使用済みだと気づくというストレスの多い瞬間を避けられます。

再生成すべきタイミング

流出の疑いがある場合は新しいセットを生成してください — 共有されたスクリーンショット、信頼できなくなった同期フォルダ内のメモ、紛失したカバンなど。また、複数のコードを使用した後も、残りのコードを健全な状態に保つため、再生成を検討してください。

重要な点が1つ:再生成すると、通常すべての古いコードは即座に無効になります。設定ページを離れる前に、新しいセットを保存場所に保管してください。そうしないと、自分自身を締め出す可能性があります。

新しいアカウント、新しいコード

新しいアカウントで2FAを有効にするたびに、新しいリカバリーコードを受け取ります。既存の保存システムにすぐに振り分けてください — 一貫した1つの習慣が、場当たり的な複数の習慣に勝ります。

実際に機能するシンプルな保管ルーチン

実用的な運用に必要なのは、わずか2部のコピーだけです:

• プライマリ: リカバリーコードをセキュアノートとしてパスワードマネージャーに保存し、アカウントのログインエントリの隣に置きます。
• バックアップ: 自宅の安全な場所に保管する紙のコピー。鍵のかかる引き出し、耐火箱、または家庭用金庫など。

紙のコピーを見つけやすくする

アカウント名と保存した日付を明記します:「ExampleMail — リカバリーコード — 2025年6月に保存」。6か月後、ラベルのない紙切れは役に立ちません。日付があれば、コードがまだ有効かどうかもわかります。

一度テストする

テストしたことのないバックアップは、推測にすぎません。サインアウトするか別のデバイスを使い、紙のコピーのリカバリーコードでサインインし、機能することを確認します。その後、コードを再生成して両方のコピーを更新します。テストはこれで一度だけ、完了です。

まとめ

2FAを有効にしたその瞬間にコードを保存し、2部のコピーを保持し、紙のコピーにはラベルと日付を記し、この計画を一度テストします。それがルーチンのすべてです。これにより、ロックアウトの緊急事態が2分で解決できる問題に変わります。