二要素認証を設定する

最初にお読みください：リカバリーコードは必ず保管してください

リカバリーコードは、必ず保管してください。スマートフォンを失くしたり、機種変更で認証アプリが使えなくなったとき、ログインできる手段は、リカバリーコードだけです。コードも失うと、ご自身では二要素認証を解除できず、ログインできなくなります。設定したら、スマートフォンとは別の安全な場所（パスワード管理ツールや印刷した紙など）に、すぐ保管してください。

二要素認証とは

二要素認証は、ログインのときにパスワードに加えて、認証アプリに表示される6桁のコードを求める仕組みです。パスワードが漏れても、スマートフォンの認証アプリがなければログインできないため、不正ログインされにくくなります。

設定は任意です。ログインしていれば、誰でも自分のアカウントについて設定できます。設定も解除も、プロフィール画面で行います。

用意するもの

認証アプリ（Google Authenticator、Microsoft Authenticator など、6桁のコードを表示するアプリ）を入れたスマートフォン
CTOの現在のパスワード（解除などで使います）
リカバリーコードを書き留める手段（メモ帳、パスワード管理ツールなど）

設定する

右上のご自身の名前（写真）をクリックして「プロフィール」を開きます。
「二要素認証」欄の「二要素認証を設定する」をクリックします。
QRコードが表示されます。認証アプリでこのQRコードを読み取ります。読み取れない場合は、QRコードの下の「設定キー」を、認証アプリに手入力します。
認証アプリに、CTOのアカウントが追加され、6桁のコードが表示されます。そのコードを「認証アプリに表示された6桁のコードを入力」欄に入力します。
「確認して有効にする」をクリックします。
「二要素認証を有効にしました。」と表示され、「リカバリーコード」が8個表示されます。すべて安全な場所に保存してください。

リカバリーコードは、この画面を閉じると再表示できません。印刷するか、パスワード管理ツールなど、スマートフォンとは別の安全な場所に書き留めてから、画面を閉じてください。

手順3の途中で画面を閉じても大丈夫です。もう一度プロフィールを開くと、同じQRコードの画面が続きから表示されます。ただし、手順5の確認をするまでは、二要素認証は有効になりません。

設定後のログイン

いつもどおり、ログイン画面でメールアドレスとパスワードを入力し、「ログイン」をクリックします。
「認証コード」の入力画面に変わります。認証アプリに表示されている6桁のコードを入力し、「確認」をクリックします。
ログインが完了し、プロジェクトのトップページが開きます。

コードは30秒ほどで切り替わります。表示が切り替わった直後の新しいコードを入力するのが確実です。
一度使ったコードは、再利用できません。
パスワードを入力してから10分以内にコードを入力してください。時間がたつとログイン画面に戻ります。
コードを続けて何度も間違えると、「試行回数が多すぎます。〇〇秒後にもう一度お試しください。」と表示され、しばらく入力できなくなります。
「確認」は1回だけ押してください。2回押すと、エラー画面（419）になることがあります。

認証アプリが使えないとき（リカバリーコード）

スマートフォンの紛失・故障・機種変更などで認証アプリを使えないときは、設定したときに保存したリカバリーコードでログインできます。

ログイン画面でメールアドレスとパスワードを入力し、「認証コード」の入力画面を開きます。
画面左下の「リカバリーコードを使う」をクリックします。
保存してあるリカバリーコード（例：「abcde-fghij」の形式）を1つ入力し、「確認」をクリックします。

リカバリーコードは、1つにつき1回だけ使えます。使ったコードは無効になります。
認証アプリの画面に戻りたいときは、同じ位置の「認証コードを入力する」をクリックします。
リカバリーコードでログインしたあとは、新しい端末で認証アプリを設定し直してください（下の「二要素認証を解除する」を参照）。

リカバリーコードもなくなった場合は、ご自身では二要素認証を解除できません。運営が、本人確認のうえで解除します。ログインできないためサポートチケットは使えないので、CTO運営の公開ページ（cto.jp）の「お問い合わせ」から、ご連絡ください。運営から本人確認のご連絡（登録しているメールアドレスへの返信のお願いなど）をします。確認できたあとに解除すると、解除のお知らせメールが届き、ログイン中の端末はすべてログアウトされます。そのあとは、パスワードだけでログインできるので、あらためて二要素認証を設定してください。運営が、パスワードや認証コード、リカバリーコードを聞くことはありません。

リカバリーコードを作り直す・残りを確認する

プロフィールの「二要素認証」欄に、「有効」の表示と、「残りのリカバリーコード：N個」が出ます。残りが少なくなったときや、コードを失くしたおそれがあるときは、作り直せます。

プロフィールの「二要素認証」欄で、「リカバリーコードを作り直す（現在のパスワード）」に、現在のパスワードを入力します。
「作り直す」をクリックします。
新しいリカバリーコードが8個表示されます。安全な場所に保存してください。

作り直すと、古いリカバリーコードはすべて無効になります。古いメモは破棄してください。

二要素認証を解除する

プロフィールの「二要素認証」欄で、「無効にする（現在のパスワード）」に、現在のパスワードを入力します。
「無効にする」をクリックし、確認のメッセージで了承します。
「二要素認証を無効にしました。」と表示されます。

機種変更のときは、新しいスマートフォンの準備ができた状態で、いったん「無効にする」で解除し、もう一度「二要素認証を設定する」から設定し直すと確実です。古い端末が手元にあるうちに行ってください。

知っておきたいこと

項目	内容
パスワードの再発行	パスワードを忘れて再設定したあとも、ログインには認証アプリのコードが必要です
GoogleやMicrosoftでのログイン（SSO）	二要素認証を設定していると、SSOではログインできません。パスワードと認証コードでログインしてください（二要素認証を抜け道なく守るための仕様です）
プロジェクトごとの設定ではありません	二要素認証は、会員アカウントに対する設定です。複数のプロジェクトに入っていても、1回の設定がすべてに効きます
運営・管理員による解除	プロジェクトの管理員が、あなたの二要素認証を解除する画面はありません