1Passwordで2段階認証コード(TOTP)を管理する手順｜設定と安全な運用

1Passwordはパスワード管理ツールですが、TOTP(時間ベースのワンタイムパスワード)の認証アプリとしても使えます。サービスの2段階認証画面でQRコードを読み取れば、ログイン時にパスワードとワンタイムコードがまとめて自動入力され、認証アプリを開く手間がなくなります。本記事では登録手順とつまずくポイント、そして「同じVaultにパスワードと2FAを入れてよいか」という判断軸まで整理します。

1PasswordでTOTPを扱う前提と必要なもの

2段階認証(2FA)のワンタイムパスワードには、SMSやプッシュ通知のほかに「TOTP」という方式があります。TOTPはTime-based One-Time Passwordの略で、秘密鍵と現在時刻から30秒ごとに新しいコードを生成する仕組みです。この30秒のタイムステップはRFC 6238¹で定義されており、桁数は一般的に6桁(1Passwordが表示するのも6桁)です。この秘密鍵さえ登録すれば、1Passwordを含む対応アプリのどれでも同じコードを再現できます。

パスワードと同じ場所でワンタイムパスワードも生成できるため、ログインのたびに別アプリへ切り替える手間が消えるのが最大の利点です。Watchtowerは「2FAを設定できるのにまだ有効化していないサイト」を検出してくれるので、抜け漏れの棚卸しにも使えます。作業を始める前に、次を用意してください。

• 対応プラン: TOTP機能はIndividualやFamiliesなど主要プランで一般に利用できます(無料トライアルでも利用可能)
• 使う環境: デスクトップアプリ、ブラウザ拡張、iOS / Androidアプリのいずれか。自動入力まで使うならブラウザ拡張の導入がおすすめです
• 登録元の情報: 2FAを有効化したいサービス側の「認証アプリを設定」画面に表示されるQRコード、またはセットアップキー(多くは16〜32文字程度のシークレット文字列)

既存アイテムにワンタイムパスワードを追加する手順

すでに1Passwordへ保存済みのログインアイテムに、ワンタイムパスワードのフィールドを追加するのが基本の流れです。ここではデスクトップアプリ / ブラウザ拡張での操作を番号順に示します²。

1. 対象サービス側で2段階認証の設定を開き、認証アプリ(Authenticator App)による方式を選ぶ
2. 画面にQRコードとセットアップキーが表示されたら、その画面は開いたままにしておく
3. 1Passwordで該当サービスのログインアイテムを開き、「編集」をクリックする
4. 「フィールドを追加」から「ワンタイムパスワード」を選ぶ
5. カメラでQRコードを読み取るか、サービスが表示するセットアップキー(素のシークレット文字列)を貼り付ける。otpauth:// 形式のURIを持っている場合は、それを貼り付けても登録できる
6. 保存すると、30秒ごとに更新される6桁コードがアイテム内に表示される

サービスが手入力用に表示する「セットアップキー」は、JBSWY3DPEHPK3PXPのような素のシークレット文字列(Base32)です。一方、QRコードにエンコードされているのは次のようなotpauth://形式のURIで、その中に同じセットアップキーが含まれています。QRコードが読めない環境では、素のセットアップキーを手入力するか、otpauth:// URI全体を貼り付けても登録できます。

otpauth://totp/GitHub:you@example.com?secret=JBSWY3DPEHPK3PXP&issuer=GitHub&period=30

QRコードが読み取れない場合は、手順5でセットアップキー(多くは16〜32文字程度の英数字)を手入力すれば同じ結果になります。多くのサービスは表示上の空白を無視して受け付けるため、表示どおりに貼り付ければ問題なく登録できることがほとんどです。ブラウザ拡張なら、1Passwordがログイン画面で自動的にワンタイムパスワードをクリップボードへコピーするので、コード欄に貼り付けるだけで済みます。スマートフォン単体で登録したい場合も、モバイルアプリのアイテム編集画面から同じ手順でQRコードを読み取れます。

コードが合わない・読めない時のつまずき早見表

設定でつまずく箇所はある程度パターン化できます。代表的な症状と対処を早見表にまとめました。

特に多いのが時刻ずれによる「コードが合わない」トラブルです。TOTPは端末の時計を基準にコードを算出するため、時刻が数十秒ずれるだけで認証に失敗します。スマートフォン・PCともに時刻を自動同期に設定しておくのが確実です。こうした細かな運用のしやすさも含めて、認証アプリを1Passwordに一本化するかを検討するとよいでしょう。

検証・やり直しと「同一Vaultリスク」の判断

登録できたら、実際にログインして動作を確認します。1Passwordが表示する6桁コードでサインインが通れば設定は成功です。

正しく設定できたか確認する

対象サービスから一度サインアウトし、パスワードとワンタイムパスワードでの再ログインを試します。多くのサービスは2FA有効化の途中で確認コードの入力を求めるので、そこで1Password側のコードを入力できれば完了です。合わせて、サービスが発行する「リカバリーコード(バックアップコード)」を忘れずに別の安全な場所に控えておきます。

うまくいかない時に元へ戻す

認証アプリを別のツールへ戻したい、あるいは登録をやり直したい場合は、サービス側の2FA設定から一度2段階認証を無効化し、再度QRコードを発行し直すのが安全です。1Password内のワンタイムパスワードフィールドだけを消しても、サービス側の2FA自体は無効になりません。

同じVaultにパスワードとTOTPを入れてよいか

「パスワードと2FAを同じ1Passwordに入れると、二要素の意味がなくなるのでは」という疑問はよく挙がります。厳密には、両方が同じVaultにあると防御が「マスターパスワード + Secret Key」という単一の関門に集約されます。とはいえ1Passwordはマスターパスワードに加えてSecret Keyを組み合わせる2層構造で、サーバ側が漏洩してもデータを復元できない設計です。Secret Keyは使える形で端末外に出ないため、単純なパスワード1つの防御とは強度が異なります。個人利用では、利便性を優先して同居させる判断が現実的といえます。

一方、法人やアクセス権限を厳密に分けたい運用では、認証情報とTOTPをVaultや管理主体で分離する設計が推奨されます。低リスクの一般サービスは同居のままにし、重要度の高いシステムだけVaultを分けるという折衷案も有効です。フィッシング耐性まで含めた多層防御の考え方は、1Passwordのフィッシング対策とWatchtowerの活用で整理しています。

なお、他サービスのTOTPを預ける話とは別に、1Passwordアカウント自体の2段階認証も設定できます。ただしこちらは、1Passwordから締め出された時の復旧を考え、別の認証アプリやセキュリティキーを併用するのが安全です³。パスワード保管庫とアカウント保護の要素は分けておく、という発想です。

まとめ：登録は数分、鍵とリカバリーコードの保管が肝

1PasswordでのTOTP管理は、QRコードかセットアップキーを既存アイテムに追加するだけで始められます。ポイントは、時刻同期でコードのズレを防ぐこと、そしてセットアップキーとリカバリーコードを安全に保管しておくことです。

個人なら利便性重視でパスワードと同居、権限を分けたい組織ならVault分離という判断軸を持っておくと、運用に迷いません。チームでの共有Vault運用や必要なライセンスを検討する段階なら、Businessプランのコスト目安も合わせて確認しておくとスムーズです。

※情報は 2026-07-13 時点の内容です。最新情報は公式サイトをご確認ください。

※本記事には PR を含みます。