パスワードだけに頼らない。JPYC Gatewayの「2FA／TOTP」とは？

1. 2FA／TOTPとは？

2FAは「二要素認証」のことで、パスワードとは別の認証要素を追加して本人確認を行う仕組みです。

JPYC Gatewayでは、TOTP方式の二要素認証に対応しています。

TOTPを設定している場合、ログイン時には次を利用します。

• メールアドレス
• パスワード
• 認証アプリに表示される6桁の認証コード

パスワードだけではログインが完了しないため、ユーザーアカウントへのアクセスに追加の認証を設けることができます。

---

2. ログイン時に6桁のコードを入力

TOTPが設定されているユーザーがJPYC Gatewayへログインすると、まずメールアドレスとパスワードを入力します。

その後、認証コードの入力画面が表示されます。

Google AuthenticatorやMicrosoft Authenticatorなどの認証アプリに表示されている6桁のコードを入力すると、ログインできます。

基本的な流れは次のとおりです。

---

3. 認証アプリを使ってセットアップ

管理者によって二要素認証が設定されると、JPYC Gatewayの設定画面に「二要素認証（TOTP）」のセットアップ画面が表示されます。

「セットアップ開始」を選択すると、QRコードとシークレットキーが表示されます。

そのQRコードを、Google Authenticator、Microsoft Authenticatorなどの認証アプリで読み取ります。

QRコードを利用できない場合は、表示されたシークレットキーを認証アプリへ手動で入力することもできます。

---

4. 6桁のコードを入力して有効化

認証アプリへの登録が完了すると、アプリ上に6桁の認証コードが表示されます。

そのコードをJPYC Gatewayへ入力し、「検証して有効化」を行います。

認証に成功すると、TOTPの設定が完了します。

以降は、ログイン時に認証アプリのコード入力が必要になります。

---

5. セットアップ期限にも注意

管理者によってTOTPが設定された場合、ユーザーにはセットアップ期限が表示されます。

期限までは、ユーザー自身でTOTPのセットアップを行う必要があります。

マニュアルでは、期限を過ぎるとTOTPが自動的に有効になり、セットアップが完了していない場合はログインできなくなるとされています。

そのため、管理者が二要素認証を設定した場合は、対象ユーザーへ早めにセットアップを行うよう案内することが重要です。

---

6. バックアップコードも発行

TOTPの設定が完了すると、バックアップコードが表示されます。

バックアップコードは、認証アプリを利用できなくなった場合にログインするためのコードです。

例えば、スマートフォンを紛失した、端末が故障した、認証アプリを利用できなくなった、といった場合に備えることができます。

バックアップコードは一度しか表示されないため、表示されたタイミングで安全な場所へ保存しておく必要があります。

---

7. Passkeyとは役割が異なる

JPYC Gatewayでは、TOTPとは別にPasskeyも利用します。この2つは、主に利用する場面が異なります。

• TOTP → JPYC Gatewayへのログイン時の二要素認証
• Passkey → マネージドウォレットの作成や送金など、重要なウォレット操作時の本人認証

例えば、TOTPを設定しているユーザーは、ログイン時にパスワードと6桁の認証コードを入力します。

その後、マネージドウォレットから送金する場合には、別途Passkeyによる本人認証が求められます。

ログイン時の認証と、資産を動かす重要操作時の認証を分けて利用できる仕組みです。

---

8. 法人利用ではアカウントの保護も重要

ステーブルコインの法人利用では、ウォレットの秘密鍵をどう管理するか、誰に送金権限を与えるか、誰がどのウォレットを利用できるか、といった管理が重要です。

しかし、それと同時に「JPYC Gatewayへ誰がログインできるか」というアカウント管理も欠かせません。

JPYC Gatewayの2FA／TOTPでは、パスワードに加えて認証アプリのコードを利用することで、ログイン時にもう一段階の認証を設けることができます。

---

9. パスワード＋認証コードでログインを保護

法人向けのウォレット管理では、ウォレットだけを守ればよいわけではありません。

ウォレットを操作するための管理画面やユーザーアカウントへのアクセスも、適切に管理する必要があります。

JPYC Gatewayでは、TOTPによる二要素認証を利用し、パスワードに加えて認証アプリの6桁コードを求めることができます。

さらに、マネージドウォレットの重要操作ではPasskeyを利用します。

ログイン時の認証とウォレット操作時の本人認証を組み合わせることで、法人でのステーブルコイン運用に必要なアクセス管理を行いやすくしています。