> ## Documentation Index
> Fetch the complete documentation index at: https://docs.apiyi.com/llms.txt
> Use this file to discover all available pages before exploring further.

# アカウントのセキュリティを維持するには？2FAとPasskeyを連携すべき理由

> APIYIアカウントに2段階目の認証ステップを追加しましょう。Passkey（指紋/顔認証）または2FA（認証コード）を連携します。万が一パスワードが漏洩しても、第2要素がなければ誰もサインインできません。数分で完了するため、すべてのユーザーに連携をおすすめします。

## 簡潔な回答

パスワードに加えて**2段階目の認証ステップ**を設定することは、アカウントセキュリティにおいて最も効果的な対策です：

* **Passkey** — 指紋、顔認証、またはデバイスの画面ロックでサインインします。秘密鍵がデバイスから外部に出ることはありません。
* **2FA（2要素認証）** — パスワードの入力に加え、認証アプリで30秒ごとに更新されるワンタイムコードを入力します。

一度設定すれば、**万が一パスワードが漏洩した場合でも、お使いのデバイスやワンタイムコードがなければ誰もサインインできません**。設定は\*\*プロフィール → `https://api.apiyi.com/account/profile`\*\*から行うことができ、わずか数分で完了します。

<Info>
  **すべてのユーザーに設定を推奨します。** 利用規模の大小にかかわらず、アカウントには残高、利用履歴、APIキーが保存されています。2つ目の認証要素は、最も低コストで最も効果の高い防御策です。まずは**Passkeyを設定**し、バックアップとして**2FA**を追加することをお勧めします。
</Info>

## なぜパスワードだけでは不十分なのか

「パスワードを複雑にしているから安全だ」と考えている方は多いでしょう。しかし、パスワードが漏洩する最も一般的な原因はすべて**ユーザー側で発生しており、パスワードの強度とは全く関係がありません**。

* **コンピューターが情報窃盗マルウェアに感染している**：この種のマルウェアは、ブラウザに保存されたすべてのログイン情報を一括で窃取します。マルウェアにとっては、どれほど強力なパスワードであっても平文と変わりません。
* **他のサービスと同じパスワードを使い回している**：別のサイトで情報漏洩が発生した後、攻撃者は漏洩した「ユーザー名＋パスワード」の組み合わせをあらゆる場所で再試行します。これはクレデンシャルスタッフィング（パスワードリスト攻撃）と呼ばれます。
* **フィッシング詐欺**：偽のログインページに誘導され、パスワードを入力させられてしまいます。

いずれのケースでも、パスワードがこちらに届く前に、すでに第三者の手に渡ってしまっています。

<Note>
  明確にしておきますと、これは当サービス側での漏洩では**ありません**。当サービスのデータベースには**パスワードのハッシュ値のみが保存され、平文で保存されることは決してありません**。万が一データベースが侵害されたとしても、元のパスワードを復元することは不可能です。しかし、上記の漏洩はすべてユーザーのデバイスやブラウザ側で発生するものであり、パスワード単体では防ぐことができません。**「パスワードがすでに漏洩してしまった」ケースを防御できる唯一の手段が第2要素です**。攻撃者がパスワードを入手したとしても、ユーザーのPasskeyデバイスやワンタイムコードまでは持っていません。
</Note>

## 2つの第2認証要素 — どちらを選ぶべきか

<CardGroup cols={2}>
  <Card title="パスキー（最初におすすめ）" icon="fingerprint">
    指紋／顔認証／画面ロックでサインインでき、パスワードを覚える必要はありません。秘密鍵はお使いのデバイス内に保持されるため、**設計上フィッシングやクレデンシャルスタッフィングへの耐性があります**。日々のサインインに最もスムーズです。
  </Card>

  <Card title="2FA／2要素認証（こちらも追加を推奨）" icon="shield-check">
    Google AuthenticatorやMicrosoft Authenticatorなどの認証アプリを使用し、30秒ごとに更新されるコードを入力します。デバイスを変更した際やアクセスを復旧する必要がある場合の頼れるバックアップになります。
  </Card>
</CardGroup>

**両方を連携することをおすすめします**。日々の素早いサインインにはパスキーを活用し、スマートフォンの機種変更時や別のデバイスで一時的にサインインする際のフォールバックとして2FAを利用できます。パスキーの詳細については、[パスキーでサインインする方法](/ja/faq/passkey-login)をご覧ください。

## 連携手順

<Steps>
  <Step title="プロフィールを開く">
    サインイン後、`https://api.apiyi.com/account/profile`を開くか、左側ナビゲーションの**Profile**をクリックします。
  </Step>

  <Step title="Passkeyを連携する">
    ページ下部の**Account Options**までスクロールし、**Bind Passkey**をクリックして保存先（iCloud Keychain / Google Password Manager / このブラウザ）を選択し、指紋認証、顔認証、または画面ロックで確認します。詳しい手順は[Passkeyでのサインイン方法](/ja/faq/passkey-login)をご覧ください。
  </Step>

  <Step title="2FAを連携する">
    プロフィールページ内のさらに下にある**2FA**セクションで、認証アプリを使ってQRコードをスキャンし、表示された6桁のコードを入力して確認します。

    <Warning>
      **バックアップ（リカバリー）コードは必ず保存してください。** 2FAを連携すると、システムから使い切りのバックアップコードが発行されます。これらは機種変更をした場合、端末を紛失した場合、または誤って認証アプリを削除してしまった場合にアカウントへ再度アクセスする唯一の手段となります。メモに書き留めるかパスワードマネージャーに保存してください。同じ端末内にスクリーンショットとして保存するだけで済ませないようにしてください。
    </Warning>
  </Step>
</Steps>

<Tip>
  連携は**サインインした状態**で行うため、ログイン後すぐに設定できます。これにより検証方法が**追加**されるだけであり、残高、tokens、呼び出し履歴には一切影響しません。
</Tip>

## 連携できない／デバイスを変更する場合

<AccordionGroup>
  <Accordion title="連携をクリックしても失敗する／連携できない場合は？">
    まず**サインアウトして再度サインイン**し、1分ほど待ってからもう一度お試しください。それでも失敗する場合は、最新の Chrome / Edge / Safari に切り替え、デバイスに画面ロックまたは生体認証が設定されていることを確認してください。
  </Accordion>

  <Accordion title="機種変更した／認証アプリを削除してしまった場合は？">
    連携時に保存した**バックアップコード**でサインインし、プロフィール画面から新しい2FAを再連携してください。バックアップコードがなくサインインできない場合は、`support@apiyi.com` のサポートまでお問い合わせいただき、本人確認を行った上で連携を解除してください。
  </Accordion>

  <Accordion title="新しいデバイスでも Passkey は機能しますか？">
    保存先によって異なります。iCloud キーチェーンや Google パスワードマネージャーに保存された Passkey はデバイス間で同期されますが、ローカルブラウザにのみ保存されているものは同期されないため、新しいデバイスで再度連携する必要があります。詳細は[Passkey でサインインする方法](/ja/faq/passkey-login)をご参照ください。
  </Accordion>

  <Accordion title="2要素認証を連携した後もパスワードは使えますか？">
    はい、使えます。2要素認証はセキュリティ層を**追加**するものであり、パスワードログインに代わるものではありません。安全のため、パスワードを保持し、登録メールアドレスを受信可能な状態にしておき、2FAバックアップコードを保存してください。常に少なくとも1つの有効な復旧手段を確保しておきましょう。
  </Accordion>
</AccordionGroup>

<Note>
  **アカウントログインのセキュリティ ≠ API Key のセキュリティ**であり、これらは別物です。2FA / Passkey は **Web コンソールへのサインイン**を保護します。プログラムで使用する API Key には独自のセキュリティ対策があり、[API Key を安全に管理する方法](/ja/faq/key-security-management)で解説しています。
</Note>

## 関連ドキュメント

* [パスキーでサインインするにはどうすればよいですか？](/ja/faq/passkey-login)
* [APIキーを安全に管理する方法](/ja/faq/key-security-management)
* [パスワードを忘れた場合はどうすればよいですか？](/ja/faq/forgot-password)
* [APIYIはどのようにデータの安全性を確保していますか？](/ja/faq/data-security)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.